Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - minimatch は、glob 式を JavaScript RegExp オブジェクトに変換するための最小マッチングユーティリティです。
    バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、 3.1.4より前では、ネストされた「*()」extglob は、ネストされた制限されない修飾子で regexp を生成します例「(?:(?: a|b)*)*`) を介して、V8 で壊滅的なバックトラッキングを示します。12 バイトのパターン「*(*(*(a|b))」と 18 バイトの非一致入力で、「minimatch()」が 7 秒以上ストールします。単一のネストレベルまたは数個の入力文字を追加すると、これは数分単位で行えます。
    これは、最も深刻な検出結果です。これは、特別なオプションなしでデフォルトの「minimatch()」API によってトリガーされ、最小実行可能なパターンは 12 バイトのみです。同じ問題が「+()」extglobs に同様に影響を与えます。バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、 3.1.4 では、この問題が修正されます。CVE-2026-27904

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27904

high Nessus プラグイン ID 300147

バージョン 1.2