Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 の複数の脆弱性 (2026 年 7 月 29 日水曜日のセキュリティリリース)
high Nessus プラグイン ID 330668
Language:
概要
Node.js - JavaScript Runtime Environment は複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている Node.js のバージョンは、22.23.2、24.18.1、26.5.1より前のものです。したがって、2026年7月29日水曜日のセキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。- Node.js の欠陥により、偽装された TypedArray byteLength が、同期 node:zlib API で到達可能なアサーションをトリガーし、プロセスをクラッシュさせる可能性があります。この状態を繰り返し悪用すると、サービス拒否を引き起こす可能性があります。影響:この脆弱性を報告してくれたbyviniと、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58045)
- HTTP/2 処理Node.js欠陥により、保持されたヘッダーブロックが maxSessionMemory 制限を回避し、リモートメモリを枯渇させる可能性があります。影響:この脆弱性を報告してくれたleduckhuong氏と、修正してくれたmcollina氏に感謝の意を表します。(CVE-2026-56846)
- Node.js HTTP/2 処理の欠陥により、nghttp2_session_mem_recv() の実行中に nghttp2_session_mem_send() が再入的に呼び出され、ヒープの use-after-free が引き起こされます。影響:この脆弱性を報告してくれた hahahkim 氏、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56848)
- Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。--permissionでは、1つのパスへのアクセスが許可された攻撃者が、基数木プレフィックス境界処理を悪用して、意図されたファイルシステムの許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。影響:この脆弱性を報告してくれたsy2n0と、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58043)
- HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互TLS(mTLS)クライアント ID が再利用される可能性があります。
影響:この脆弱性を報告してくれたyotttと、修正してくれたRafaelGSSに感謝の意を表します。
(CVE-2026-56850)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Node.js のバージョンを 22.23.2/24.18.1/26.5.1 以降にアップグレードしてください。参考資料
https://nodejs.org/en/blog/vulnerability/july-2026-security-releases/
プラグインの詳細
深刻度: High
ID: 330668
ファイル名: nodejs_2026_jul_29.nasl
バージョン: 1.2
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/7/29
更新日: 2026/7/31
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.9
パーセンタイル: 96.83
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS スコアのソース: CVE-2026-58045
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2026-58043
脆弱性情報
CPE: cpe:/a:nodejs:node.js
必要な KB アイテム: installed_sw/Node.js
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/29
脆弱性公開日: 2026/7/29
参照情報
CVE: CVE-2026-56846, CVE-2026-56847, CVE-2026-56848, CVE-2026-56850, CVE-2026-58039, CVE-2026-58040, CVE-2026-58041, CVE-2026-58042, CVE-2026-58043, CVE-2026-58044, CVE-2026-58045