Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1921)
high Nessus プラグイン ID 327401
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-1921 のアドバイザリに記載されている複数の脆弱性の影響を受けます。undici が Set-Cookie ヘッダーを解析するとき、RFC 6265 で指定された大文字と小文字を区別しない完全一致ではなく、Strict、Lax、または None を部分文字列として含む任意の SameSite 属性値を受け入れます。非仕様値は、3 つの標準トークンのいずれかに暗黙的にマッピングされます。
SameSite=NoneOfYourBusiness は、最も許容度の高い設定である None として解析されます。SameSite=StrictLax は、Strict からのダウングレードとなる Lax として解析されます。影響を受けるアプリケーションは、サーバー応答から Set-Cookie ヘッダーを取得し (例えば、undici の fetch またはプロキシコードパスを介して)、解析された sameSite 属性を転送する、またはその値に依存するアプリケーションです。悪意のあるサーバーまたは非準拠のサーバーは、Cookie の SameSite ポリシーに対するコンシューマー側の解釈をより弱い値に強制し、Cookie が提供するはずの SameSite 制御を暗黙的に低下させる可能性があります。
これは、Cookie 機能が追加された際に undici 5.15.0 で導入されました。(CVE-2026-11525)
SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にメモリ破損の脆弱性があり、攻撃者が無効な形式の FTS5 ページデータを含む細工されたデータベースを提供することで、プロセスクラッシュ、メモリ枯渇、または任意のコード実行を引き起こす可能性があります。攻撃者は、攻撃者が制御するループ境界を介して fts5LeafSeek() で領域外読み取りを引き起こし、また、整数アンダーフローを引き起こす細工された継続ページを介して fts5ChunkIterate() でヒープバッファオーバーフロー書き込みを発生させる可能性があります。これは、悪意のあるデータベースに対して FTS5 MATCH クエリが実行された場合に悪用可能です。(CVE-2026-11822)
SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にヒープベースのバッファオーバーフローの脆弱性があり、攻撃者が 4 より小さい szLeaf 値を指定する悪意のある継続ページメタデータを含む細工されたデータベースを提供することで、クラッシュを引き起こしたり、任意のコードを実行したりする可能性があります。FTS5 MATCH クエリ処理中に fts5ChunkIterate() の整数アンダーフローによって残りのバイト数が増大し、SQLITE_ENABLE_FTS5 でコンパイルされたアプリケーションで、攻撃者が制御するデータのヒープバッファオーバーフローにつながります。(CVE-2026-11824)
undici WebSocket クライアントは、メッセージのフラグメントの累積バイトカウントに maxPayloadSize を強制しますが、フラグメント数の制限は強制しません。悪意のある WebSocket サーバーが、フレームごとおよび累積サイズの検証に合格する多数の小さいまたは空の継続フレームをストリーミングし、クライアントプロセスで無制限のメモリ増加を引き起こす可能性があります。その結果、メモリ枯渇とサービス拒否が発生します。
影響を受けるアプリケーションは、undici WebSocket クライアント (new WebSocket(...)) または WebSocketStream API を使用しており、攻撃者が制御する、または侵害された WebSocket エンドポイントに接続するよう誘導される可能性があります。
undici 6.17.0 以降のすべてのリリースが影響を受けます。(CVE-2026-12151)
Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。
プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48615)
Node.js 権限モデルの適用における欠陥により、「process.report.writeReport()」のパス検証の誤りを利用して権限モデルをバイパスできます。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。**Node.js 22**、**Node.js 24**、**Node.js 26**。(CVE-2026-48617)
Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。
これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48618)
Node.js HTTP/2 クライアントの欠陥により、サーバーが無制限の数の ORIGIN フレームを送信でき、クライアントでメモリ不足エラーが発生する可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48619)
Node.js のホスト名照合の不整合により、マルチコンテキスト mTLS セットアップで信頼ポリシーのバイパスが発生する可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48928)
Node.js の TLS ホスト名処理における欠陥により、リゾルバーバインディングでの C 文字列切り捨てが原因で、埋め込まれた NUL 文字を含むホスト名がサイレントな権限リバインディングを引き起こす可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48930)
Node.js HTTP Agent の欠陥により、クライアントがリクエストを送信する前に送信された応答を有効なものとして受け入れる可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48931)
Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48933)
Node.js TLS ホスト検証の欠陥により、攻撃者が証明書検証をバイパスする可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48934)
Node.js Permission API の欠陥により、例えば --allow-fs-read で読み取り専用として設定されたパスであっても、ファイルメタデータが変更される可能性があります。
この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
(CVE-2026-48935)
Node.js HTTP/2 サーバー API の欠陥により、「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける可能性があります。この脆弱性は、2 つのサポート対象リリースラインである **Node.js 22** および **Node.js 24** に影響を与えます。
(CVE-2026-48937)
Undici の HTTP/1.1 クライアントは、再利用されたキープアライブソケットにおける応答キューポイズニングに対して脆弱です。攻撃者が制御するアップストリームサーバーが、リクエストの完了後に、アイドル状態のソケットへ要求されていない HTTP/1.1 応答を注入する可能性があります。クライアントがそのソケット上で次のリクエストをディスパッチすると、注入された応答が新しいリクエストに関連付けられ、応答が誤ったリクエストに配信されます。
これには、攻撃者が制御する、または侵害されたアップストリーム HTTP/1.1 サーバーと、キープアライブ接続の再利用が必要です。(CVE-2026-6733)
parseSetCookie 内の undici の Cookie パーサーは、qsUnescape を介して Cookie 値をパーセントデコードし、%0D%0A、%00、%3B、%3D などのエンコードされたシーケンスを対応するリテラルバイトに変換します。RFC 6265 SS5.4 ではデコードは指定されておらず、ブラウザでもデコードされません。
Set-Cookie ヘッダーを解析し、解析された値を応答ヘッダーに転送するアプリケーション (プロキシ、ミドルウェア、SSR フレームワーク) は、HTTP 応答ヘッダーインジェクションに対して脆弱になります。攻撃者が制御するアップストリームは、任意の Set-Cookie、Location、または Cache-Control ヘッダーをアプリケーションのダウンストリーム応答に注入し、セッション固定、オープンリダイレクト、またはキャッシュポイズニングを可能にします。
影響を受けるアプリケーションは、undici の Cookie 解析 (parseSetCookie、parseCookie、getSetCookies) を使用し、解析された Cookie 値を応答ヘッダーに転送するアプリケーションです。
これは、undici 7.0.0 で導入されました (CVE-2026-9679)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update nodejs22 --releasever 2023.12.20260706」または「dnf update --advisory ALAS2023-2026-1921 --releasever 2023.12.20260706」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1921.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-11525.html
https://explore.alas.aws.amazon.com/CVE-2026-11822.html
https://explore.alas.aws.amazon.com/CVE-2026-11824.html
https://explore.alas.aws.amazon.com/CVE-2026-12151.html
https://explore.alas.aws.amazon.com/CVE-2026-48615.html
https://explore.alas.aws.amazon.com/CVE-2026-48617.html
https://explore.alas.aws.amazon.com/CVE-2026-48618.html
https://explore.alas.aws.amazon.com/CVE-2026-48619.html
https://explore.alas.aws.amazon.com/CVE-2026-48928.html
https://explore.alas.aws.amazon.com/CVE-2026-48930.html
https://explore.alas.aws.amazon.com/CVE-2026-48931.html
https://explore.alas.aws.amazon.com/CVE-2026-48933.html
https://explore.alas.aws.amazon.com/CVE-2026-48934.html
https://explore.alas.aws.amazon.com/CVE-2026-48935.html
https://explore.alas.aws.amazon.com/CVE-2026-48937.html
プラグインの詳細
深刻度: High
ID: 327401
ファイル名: al2023_ALAS2023-2026-1921.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/7/16
更新日: 2026/7/16
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.9
パーセンタイル: 96.92
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-48930
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.5
Threat Score: 7.1
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-11824
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:nodejs22-debuginfo, p-cpe:/a:amazon:linux:nodejs22-debugsource, p-cpe:/a:amazon:linux:nodejs22-devel, p-cpe:/a:amazon:linux:nodejs22-docs, p-cpe:/a:amazon:linux:nodejs22-full-i18n, p-cpe:/a:amazon:linux:nodejs22-libs-debuginfo, p-cpe:/a:amazon:linux:nodejs22-libs, p-cpe:/a:amazon:linux:nodejs22-npm, p-cpe:/a:amazon:linux:nodejs22, p-cpe:/a:amazon:linux:v8-12.4-devel
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/7
脆弱性公開日: 2026/6/9
参照情報
CVE: CVE-2026-11525, CVE-2026-11822, CVE-2026-11824, CVE-2026-12151, CVE-2026-48615, CVE-2026-48617, CVE-2026-48618, CVE-2026-48619, CVE-2026-48928, CVE-2026-48930, CVE-2026-48931, CVE-2026-48933, CVE-2026-48934, CVE-2026-48935, CVE-2026-48937, CVE-2026-6733, CVE-2026-9679