リモート RockyLinux 9 ホストに、RLSA-2026:7350 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs: Node.js におけるサービス拒否 (CVE-2026-21637)

    * brace-expansion: brace-expansion: 無制限のブレース範囲展開によるサービス拒否 (CVE-2026-25547)

    * minimatch: minimatch: 特別に細工されたグロブパターンによるサービス拒否 (CVE-2026-26996)

    * undici: Undici: リソースの制御されていない消費によるサービス拒否 (CVE-2026-2581)

    * undici: Undici: HTTP ヘッダーインジェクションおよびリクエストスマグリングの脆弱性 (CVE-2026-1527)

    * undici: undici: WebSocket permessage-deflate の展開中における無制限のメモリ消費によるサービス拒否 (CVE-2026-1526)

    * undici: Undici: 無効な WebSocket permessage-deflate 拡張パラメーターによるサービス拒否 (CVE-2026-2229)

    * undici: Undici: 重複する Content-Length ヘッダーによる HTTP リクエストスマグリングおよびサービス拒否 (CVE-2026-1525)

    * undici: undici: 長大な細工された WebSocket フレームによるサービス拒否 (CVE-2026-1528)

    * nghttp2: nghttp2: セッション終了後の不正な形式の HTTP/2 フレームによるサービス拒否 (CVE-2026-27135)

    * Node.js: Node.js: 不正な形式の国際化ドメイン名処理によるサービス拒否 (CVE-2026-21712)

    * Node.js: Node.js: 細工された HTTP __proto__ ヘッダーによるサービス拒否 (CVE-2026-21710)

    * Node.js: Node.js:「fs.realpathSync.native()」がファイルシステムの読み取り制限をバイパスすることによる情報漏洩 (CVE-2026-21715)

    * nodejs: Node.js: 不完全なセキュリティ修正により、権限のバイパスが可能となり、ファイルのパーミッションおよび所有権を不正に変更できる可能性があります。(CVE-2026-21716)

    * Node.js: Node.js: Unix ドメインソケットの権限チェックの欠如により、許可されていないプロセス間通信が可能となる問題 (CVE-2026-21711)

    * Node.js: Node.js: HMAC 検証におけるタイミングオラクルによる情報漏洩 (CVE-2026-21713)

    * Node.js: Node.js: 細工された HTTP/2 WINDOW_UPDATE フレームによるメモリリークおよびサービス拒否 (CVE-2026-21714)

    * nodejs: v8: Node.js: 予測可能なハッシュ衝突による V8 文字列ハッシュ機構におけるサービス拒否 (CVE-2026-21717)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RockyLinux 9 : nodejs:24 (RLSA-2026:7350)

critical Nessus プラグイン ID 305802

バージョン 1.2