Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Underscore.js は JavaScript 用のユーティリティベルトライブラリです。1.13.8より前の _.flatten 関数と _.isEqual 関数は、深さ制限なしで再帰を使用します。非常に特殊な状況(以下に詳述)で、攻撃者はこれをサービス拒否(DoS)攻撃に悪用し、スタックオーバーフローを発生させる可能性があります。信頼できない入力を使用して、たとえば JSON.parse を使用して、強制された深さ制限なしで再帰データ構造を作成する必要があります。このようにして作成されたデータ構造は、_.flatten または _.isEqual に渡される必要があります。_.flatten の場合、この脆弱性は、リモートクライアントが、すべてのレベルの配列で構成されるデータ構造を準備できる場合、および 2 番目の引数として渡される有限の深さ制限がない場合にのみ悪用される可能性があります。
    _.flatten。_.isEqualの場合、この脆弱性は、同じリモートクライアントによって送信された2つの異なるデータ構造が、
    _.isEqualです。たとえば、クライアントがデータベースに格納されているデータを送信し、同じクライアントが後で別のデータ構造を送信し、それを以前データベースに保存されたデータと比較できる場合、またはクライアントが 1 つの要求を送信したが、そのデータが 2 回解析され、2 つの同一ではないが同等のデータ構造が作成されて比較される場合などです。に対する呼び出しに由来する例外
    _.flatten または _.isEqual は、スタックオーバーフローの結果として、キャッチされていません。この脆弱性は 1.13.8 で修正されました。(CVE-2026-27601)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27601

high Nessus プラグイン ID 300943

バージョン 1.6