SUSE SLES15 セキュリティ更新 : nodejs24 (SUSE-SU-2026:2633-1)
high Nessus プラグイン ID 323047
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2633-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。この nodejs24 の更新では、以下の問題を修正します
24.17.0 に更新:
- CVE-2026-2581: undici: Undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
- CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
- CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
- CVE-2026-9678: undici: undici: 不適切なキャッシュコントロールヘッダー解析による情報漏洩 (bsc#1268478)。
- CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
- CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
- CVE-2026-12151:undici: undici:WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否(bsc#1268482)。
- CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
- CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
- CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
- CVE-2026-48615: プロキシ認証情報がエラーメッセージ ERR_PROXY_TUNNEL に漏洩する可能性 (bsc#1268598)。
- CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
- CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
- CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
- CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
- CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
- CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
- CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
- CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
- CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
- CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける nodejs24、nodejs24-devel、nodejs24-docs および/または npm24 パッケージを更新してください。参考資料
https://bugzilla.suse.com/1259853
https://bugzilla.suse.com/1262274
https://bugzilla.suse.com/1266318
https://bugzilla.suse.com/1268097
https://bugzilla.suse.com/1268477
https://bugzilla.suse.com/1268478
https://bugzilla.suse.com/1268479
https://bugzilla.suse.com/1268480
https://bugzilla.suse.com/1268481
https://bugzilla.suse.com/1268482
https://bugzilla.suse.com/1268554
https://bugzilla.suse.com/1268555
https://bugzilla.suse.com/1268592
https://bugzilla.suse.com/1268593
https://bugzilla.suse.com/1268598
https://bugzilla.suse.com/1268605
https://bugzilla.suse.com/1268606
https://bugzilla.suse.com/1268608
https://bugzilla.suse.com/1268609
https://bugzilla.suse.com/1268611
https://bugzilla.suse.com/1268618
https://lists.suse.com/pipermail/sle-updates/2026-June/047635.html
https://www.suse.com/security/cve/CVE-2026-11525
https://www.suse.com/security/cve/CVE-2026-12151
https://www.suse.com/security/cve/CVE-2026-2581
https://www.suse.com/security/cve/CVE-2026-27135
https://www.suse.com/security/cve/CVE-2026-40170
https://www.suse.com/security/cve/CVE-2026-42338
https://www.suse.com/security/cve/CVE-2026-48615
https://www.suse.com/security/cve/CVE-2026-48617
https://www.suse.com/security/cve/CVE-2026-48618
https://www.suse.com/security/cve/CVE-2026-48619
https://www.suse.com/security/cve/CVE-2026-48928
https://www.suse.com/security/cve/CVE-2026-48930
https://www.suse.com/security/cve/CVE-2026-48931
https://www.suse.com/security/cve/CVE-2026-48933
https://www.suse.com/security/cve/CVE-2026-48934
https://www.suse.com/security/cve/CVE-2026-48935
https://www.suse.com/security/cve/CVE-2026-48937
https://www.suse.com/security/cve/CVE-2026-6733
https://www.suse.com/security/cve/CVE-2026-9496
プラグインの詳細
深刻度: High
ID: 323047
ファイル名: suse_SU-2026-2633-1.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/6/26
更新日: 2026/6/29
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-48930
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 7.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-9496
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:nodejs24-devel, p-cpe:/a:novell:suse_linux:npm24, p-cpe:/a:novell:suse_linux:nodejs24-docs, cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:nodejs24
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/6/25
脆弱性公開日: 2026/3/12
参照情報
CVE: CVE-2026-11525, CVE-2026-12151, CVE-2026-2581, CVE-2026-27135, CVE-2026-40170, CVE-2026-42338, CVE-2026-48615, CVE-2026-48617, CVE-2026-48618, CVE-2026-48619, CVE-2026-48928, CVE-2026-48930, CVE-2026-48931, CVE-2026-48933, CVE-2026-48934, CVE-2026-48935, CVE-2026-48937, CVE-2026-6733, CVE-2026-9496, CVE-2026-9678, CVE-2026-9679
SuSE: SUSE-SU-2026:2633-1