Node.js 22.x < 22.23.2/24.x < 24.18.1/26.x < 26.5.1 の複数の脆弱性 (2026 年 7 月 29 日水曜日のセキュリティリリース)。
high Nessus プラグイン ID 330668
Language:
概要
Node.js - JavaScript Runtime Environment は複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている Node.js のバージョンは、22.23.2、24.18.1、26.5.1より前のものです。したがって、2026 年 7 月 29 日水曜日のセキュリティリリースのアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。- Node.js の欠陥により、偽装された TypedArray byteLength が同期 node:zlib API で到達可能なアサーションをトリガーし、プロセスをクラッシュさせる可能性があります。この条件で悪用が繰り返されると、サービスの提供が拒否される可能性があります。影響: この脆弱性を報告してくれた byvini 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2026-58045)
- Node.js HTTP/2 処理の欠陥により、保持されたヘッダーブロックが maxSessionMemory 制限を回避し、リモートメモリを枯渇させる可能性があります。影響: この脆弱性を報告してくれた leduckhuong 氏に、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56846)
- Node.js HTTP/2 処理の欠陥により、nghttp2_session_mem_recv() の実行中に nghttp2_session_mem_send() が再入的に呼び出され、heap-use-after-free が引き起こされます。影響: この脆弱性を報告してくれた hahahkim 氏に、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56848)
- Node.js アクセス許可モデル強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセス権が過剰に付与される可能性があります。--permission では、1 つのパスへのアクセスが許可された攻撃者が、基数木プレフィックスの境界処理を悪用して、意図されたファイルシステムの許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。影響: この脆弱性を報告してくれた sy2n0 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2026-58043)
- Node.js HTTPS Agent 接続再利用の欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS (mTLS) クライアント ID が再利用される可能性があります。
この脆弱性を報告してくれた yottt 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
(CVE-2026-56850)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Node.js のバージョンを 22.23.2/24.18.1/26.5.1 以降にアップグレードしてください。参考資料
https://nodejs.org/en/blog/vulnerability/july-2026-security-releases/
プラグインの詳細
深刻度: High
ID: 330668
ファイル名: nodejs_2026_jul_29.nasl
バージョン: 1.6
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/29
更新日: 2026/8/27
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.7
パーセンタイル: 96.23
CVSS v2
リスクファクター: Medium
基本値: 6.2
現状値: 4.9
ベクトル: CVSS2#AV:L/AC:L/Au:S/C:C/I:C/A:N
CVSS スコアのソース: CVE-2026-58043
CVSS v3
リスクファクター: High
基本値: 8.4
現状値: 7.6
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:nodejs:node.js
必要な KB アイテム: installed_sw/Node.js
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/29
脆弱性公開日: 2026/7/29
参照情報
CVE: CVE-2026-56846, CVE-2026-56847, CVE-2026-56848, CVE-2026-56850, CVE-2026-58039, CVE-2026-58040, CVE-2026-58041, CVE-2026-58042, CVE-2026-58043, CVE-2026-58044, CVE-2026-58045
IAVB: 2026-B-0216