Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響 unci WebSocketクライアントは、permessage-deflate拡張機能のserver_max_window_bitsパラメーターが不適切に検証されているため、サービス拒否攻撃に対して脆弱です。WebSocket クライアントがサーバーに接続するとき、permessage-deflate 圧縮のサポートを自動的にアドバタイズします。悪意のあるサーバーが、範囲外の server_max_window_bits 値 (8 15 の zlib の有効範囲外) で応答する可能性があります。
    サーバーがその後、圧縮されたフレームを送信すると、クライアントは無効な windowBits 値で zlib InflateRaw インスタンスを作成しようとし、キャッチされない同期 RangeError 例外を引き起こし、即座にプロセスを終了します。この脆弱性は、次の理由により存在します。 * isValidClientWindowBits() 関数は、有効な範囲 8-15 内ではなく、値に ASCII 数字が含まれていることのみを検証します * createInflateRaw() の呼び出しが try-catch ブロックでラップされません * 結果として生じる例外はコールスタックを通じて上に伝播し、Node.js プロセスをクラッシュしますCVE-2026-2229

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-2229

high Nessus プラグイン ID 302068

バージョン 1.5