Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - shell-quote の「quote()」関数が、「parse()」で使用される演算子モデルに対してオブジェクトトークン入力を検証していませんでした。「.op」フィールドは、「/(.)/g」の変更があり、JavaScript では行終端子(\n、 \r、U+2028、U+2029)と一致しません。したがって、「.op」の行終端子は、出力にエスケープされずに通過していました。POSIX シェルは、リテラル改行をコマンドセパレーターとして扱うため、改行の後に続くコンテンツは 2 番目のコマンドとして実行されます。脆弱なコードパスには、2 つの方法で到達できます。
    (1) '{ op: '...\n の直接構築...' }外部入力からの '、および (2) 「envFn」が「.op」が攻撃者の影響を受ける「.op」を持つオブジェクトトークンを返す際の「parse(cmd, envFn)」を介して。どちらも文書化された API サーフェスです。文字ごとのエスケープを厳格な形状検証に置き換えることで修正しました:「.op」はパーサーのコントロールオペレーター許可リストに一致する必要があります。'{ op: 'glob', pattern }' は「pattern」を検証し、行終端子を禁止します。「{ comment}」は「comment」を検証し、行終端子を禁止します。他のオブジェクト形状は、「TypeError」をスローします。
    (CVE-2026-9277)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-9277

critical Nessus プラグイン ID 316598

バージョン 1.11