したがって、ALAS2023-2026-1402 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    細工されたシンボリックリンクを使用してファイルシステム権限をバイパスしますCVE-2025-55130

    Node.js のバッファ割り当てロジックの欠陥により、vm モジュールをタイムアウトオプションで使用する際、割り当てが中断されたときに初期化されていないメモリが漏洩する可能性があります。特定のタイミング条件下で、Buffer.alloc および Uint8Array などの他の TypedArray インスタンスに割り当てられたバッファには、以前の操作からの残っているデータが含まれることがあります。これにより、トークンやパスワードなどのプロセス中の機密情報が漏洩したり、データが破損したりすることができます。

    通常、悪用には正確なタイミングまたはプロセス内のコード実行が必要ですが、信頼できない入力がワークロードとタイムアウトに影響を与え、機密性および整合性に影響を与える時はリモートで悪用可能になり、潜在的な機密性および整合性に影響を与える可能性があります。CVE-2025-55131

    fs.futimes() による読み取り専用権限モデルのバイパスCVE-2025-55132]

    Node.js HTTP/2 サーバーが、無効な形式の HEADERS フレームを受信した際に、未処理のエラーでクラッシュしますCVE-2025-59465

    Node.js 上で async_hooks 経由での最大呼び出しスタックサイズ超過エラーにより、エラーハンドラーをバイパスしてプロセスがクラッシュしますCVE-2025-59466

    TLS PSK/ALPN コールバック例外がエラーハンドラーをバイパスし、DoS および FD 漏洩を引き起こす

    注意: https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#tls-pskalpn-callback-exceptions-bypass-error-handlers-causing-dos-and-fd-leak-cve-2026-21637---medium (CVE-2026-21637)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1402)

medium Nessus プラグイン ID 298073

バージョン 1.1