Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Picomatch は、JavaScript で記述された glob マッチャーです。 4.0.4、 3.0.2、および 2.3.2 以前のバージョンは、細工された extglob パターンを処理する際に正規表現のサービス拒否ReDoSに対して脆弱です。「+()」や「*()」などの extglob 修飾子を使用する特定のパターンは、特に重複する代替またはネスト化された extglob と組み合わせられた場合、正規表現にコンパイルされ、これによって非一致入力で壊滅的なバックトラックを示すことができます。アプリケーションが、信頼できないユーザーが、コンパイルまたはマッチングのために「picomatch」に渡される glob パターンを提供できる場合に影響を受けます。それらの場合、攻撃者はCPUを過剰に消費し、Node.jsのイベントループをブロックすることで、サービス拒否を引き起こす可能性があります。信頼できる、開発者がコントロールするグロブパターンのみを使用するアプリケーションは、セキュリティ関連の方法で漏洩する可能性がはるかに低いです。
    この問題は picomatch 4.0.4、 3.0.2 、 2.3.2で修正されています。ユーザーは、サポートされているリリースラインに応じて、これらのバージョンのいずれか以降にアップグレードする必要があります。アップグレードがすぐに不可能な場合は、信頼できない glob パターンを「picomatch」に渡すのを避けてください。考えられる軽減策には、「noextglob: true」を使用することで信頼できないパターンに対する extglob サポートを無効にすることと、「+()」や「*()」などのネスト化された extglob または extglob 修飾子を含むパターンを拒否またはサニタイズすること、受け入れられたパターン構文のために厳格な許可リストを実施すること、分離されたワーカーまたは個別のプロセスでのマッチング、および glob パターンを受け入れるエンドポイントのアプリケーションレベルのリクエストスロットリングおよび入力検証の適用。
    (CVE-2026-33671)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33671

high Nessus プラグイン ID 303991

バージョン 1.4