リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21236-1 アドバイザリで言及されています。

    この nodejs24 の更新では、以下の問題を修正します

    バージョン 24.18.0 (bsc#1269825) に更新してください：

    セキュリティの問題を修正:

    - CVE-2026-2581: undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
    - CVE-2026-6733: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9678: undici: 不適切な「キャッシュコントロール」ヘッダー解析による情報漏洩 (bsc#1268478).
    - CVE-2026-9679: undici: 「Set-Cookie」のパーセントデコードを介した HTTP ヘッダーインジェクション (bsc#1268477)。
    - CVE-2026-11525: undici:「Set-Cookie」ヘッダーの不適切な解析によるクッキーの「SameSite」ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ「ERR_PROXY_TUNNEL」に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する「ORIGIN」フレームによる「node:http2」クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930:「embedded-nul」ホスト名により、リゾルバーバインディングでの「c-string」切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931:「http.Agent」における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なる「サーバー名」でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935:「promise」API の「FileHandle.utimes()」を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

    その他の更新およびバグ修正:
    - バージョン 24.18.0:
      - doc:「blockList」の安定性ステータスをリリース候補に更新
      - fs: 呼び出し元指定の「readFile()」バッファをサポート
      - http:「closeIdleConnections」でプリリクエストソケットを閉じる
      - loader: パッケージマップを実装
      - net:「setKeepAlive」で「TCP_KEEPINTVL」および「TCP_KEEPCNT」をサポート
      - tls:「certificateCompression」オプションを追加
      - vfs:「node:fs/promises」をマウントされた VFS インスタンスにディスパッチ
      - vfs: 最小限の「node:vfs」サブシステムを追加
    - 旧バージョンの変更については、https://github.com/nodejs/node/releases を参照してください。
    - 利用できない場合は、「update-alternatives」をスクリプトレットから削除。
    - 明示的に「BuildRequire」「update-alternatives」をビルド要件として指定し、post/postun で使用されるものとしてマーク。
    - 「-fno-lifetime-dse」を「CXXFLAGS」に追加して、GCC 16 でのパラレル/テストスナップショット再現可能テストスイートの失敗を回避。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新 : nodejs24 (openSUSE-SU-2026:21236-1)

high Nessus プラグイン ID 326024

バージョン 1.3