openSUSE 16 セキュリティ更新 : nodejs24 (openSUSE-SU-2026:21236-1)
high Nessus プラグイン ID 326024
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21236-1 アドバイザリで言及されています。この nodejs24 の更新では、以下の問題を修正します
バージョン 24.18.0 (bsc#1269825) に更新してください：
セキュリティの問題を修正:
- CVE-2026-2581: undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
- CVE-2026-6733: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
- CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
- CVE-2026-9678: undici: 不適切な「キャッシュコントロール」ヘッダー解析による情報漏洩 (bsc#1268478).
- CVE-2026-9679: undici: 「Set-Cookie」のパーセントデコードを介した HTTP ヘッダーインジェクション (bsc#1268477)。
- CVE-2026-11525: undici:「Set-Cookie」ヘッダーの不適切な解析によるクッキーの「SameSite」ポリシーが弱体化する可能性 (bsc#1268481)。
- CVE-2026-12151:undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
- CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
- CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
- CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
- CVE-2026-48615: プロキシ認証情報がエラーメッセージ「ERR_PROXY_TUNNEL」に漏洩する可能性 (bsc#1268598)。
- CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
- CVE-2026-48618: Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
- CVE-2026-48619: 攻撃者が制御する「ORIGIN」フレームによる「node:http2」クライアントにおける際限のないメモリ増加 (bsc#1268618)。
- CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
- CVE-2026-48930:「embedded-nul」ホスト名により、リゾルバーバインディングでの「c-string」切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
- CVE-2026-48931:「http.Agent」における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
- CVE-2026-48933: WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
- CVE-2026-48934: 異なる「サーバー名」でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
- CVE-2026-48935:「promise」API の「FileHandle.utimes()」を介した権限モデルのバイパス (bsc#1268609)。
- CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
その他の更新およびバグ修正:
- バージョン 24.18.0:
- doc:「blockList」の安定性ステータスをリリース候補に更新
- fs: 呼び出し元指定の「readFile()」バッファをサポート
- http:「closeIdleConnections」でプリリクエストソケットを閉じる
- loader: パッケージマップを実装
- net:「setKeepAlive」で「TCP_KEEPINTVL」および「TCP_KEEPCNT」をサポート
- tls:「certificateCompression」オプションを追加
- vfs:「node:fs/promises」をマウントされた VFS インスタンスにディスパッチ
- vfs: 最小限の「node:vfs」サブシステムを追加
- 旧バージョンの変更については、https://github.com/nodejs/node/releases を参照してください。
- 利用できない場合は、「update-alternatives」をスクリプトレットから削除。
- 明示的に「BuildRequire」「update-alternatives」をビルド要件として指定し、post/postun で使用されるものとしてマーク。
- 「-fno-lifetime-dse」を「CXXFLAGS」に追加して、GCC 16 でのパラレル/テストスナップショット再現可能テストスイートの失敗を回避。
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける corepack24、nodejs24、nodejs24-devel、npm24 パッケージを更新してください。参考資料
https://bugzilla.suse.com/1259853
https://bugzilla.suse.com/1262274
https://bugzilla.suse.com/1266318
https://bugzilla.suse.com/1268097
https://bugzilla.suse.com/1268477
https://bugzilla.suse.com/1268478
https://bugzilla.suse.com/1268479
https://bugzilla.suse.com/1268480
https://bugzilla.suse.com/1268481
https://bugzilla.suse.com/1268482
https://bugzilla.suse.com/1268554
https://bugzilla.suse.com/1268555
https://bugzilla.suse.com/1268592
https://bugzilla.suse.com/1268593
https://bugzilla.suse.com/1268598
https://bugzilla.suse.com/1268605
https://bugzilla.suse.com/1268606
https://bugzilla.suse.com/1268608
https://bugzilla.suse.com/1268609
https://bugzilla.suse.com/1268611
https://bugzilla.suse.com/1268618
https://bugzilla.suse.com/1269825
https://www.suse.com/security/cve/CVE-2026-11525
https://www.suse.com/security/cve/CVE-2026-12151
https://www.suse.com/security/cve/CVE-2026-2581
https://www.suse.com/security/cve/CVE-2026-27135
https://www.suse.com/security/cve/CVE-2026-40170
https://www.suse.com/security/cve/CVE-2026-42338
https://www.suse.com/security/cve/CVE-2026-48615
https://www.suse.com/security/cve/CVE-2026-48617
https://www.suse.com/security/cve/CVE-2026-48618
https://www.suse.com/security/cve/CVE-2026-48619
https://www.suse.com/security/cve/CVE-2026-48928
https://www.suse.com/security/cve/CVE-2026-48930
https://www.suse.com/security/cve/CVE-2026-48931
https://www.suse.com/security/cve/CVE-2026-48933
https://www.suse.com/security/cve/CVE-2026-48934
https://www.suse.com/security/cve/CVE-2026-48935
https://www.suse.com/security/cve/CVE-2026-48937
https://www.suse.com/security/cve/CVE-2026-6733
https://www.suse.com/security/cve/CVE-2026-9496
プラグインの詳細
深刻度: High
ID: 326024
ファイル名: openSUSE-2026-21236-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/7/9
更新日: 2026/7/9
サポートされているセンサー: Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.9
パーセンタイル: 96.92
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-48930
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 7.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-9496
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:npm24, p-cpe:/a:novell:opensuse:nodejs24, p-cpe:/a:novell:opensuse:nodejs24-devel, p-cpe:/a:novell:opensuse:corepack24
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/6
脆弱性公開日: 2026/3/12
参照情報
CVE: CVE-2026-11525, CVE-2026-12151, CVE-2026-2581, CVE-2026-27135, CVE-2026-40170, CVE-2026-42338, CVE-2026-48615, CVE-2026-48617, CVE-2026-48618, CVE-2026-48619, CVE-2026-48928, CVE-2026-48930, CVE-2026-48931, CVE-2026-48933, CVE-2026-48934, CVE-2026-48935, CVE-2026-48937, CVE-2026-6733, CVE-2026-9496, CVE-2026-9678, CVE-2026-9679