リモートホストにインストールされている Node.js のバージョンは、22.23.2、24.18.1、26.5.1より前のものです。したがって、2026年7月29日水曜日のセキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Node.js の欠陥により、偽装された TypedArray byteLength が、同期 node:zlib API で到達可能なアサーションをトリガーし、プロセスをクラッシュさせる可能性があります。この状態を繰り返し悪用すると、サービス拒否を引き起こす可能性があります。影響:この脆弱性を報告してくれたbyviniと、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58045)

  - HTTP/2 処理Node.js欠陥により、保持されたヘッダーブロックが maxSessionMemory 制限を回避し、リモートメモリを枯渇させる可能性があります。影響:この脆弱性を報告してくれたleduckhuong氏と、修正してくれたmcollina氏に感謝の意を表します。(CVE-2026-56846)

  - Node.js HTTP/2 処理の欠陥により、nghttp2_session_mem_recv() の実行中に nghttp2_session_mem_send() が再入的に呼び出され、ヒープの use-after-free が引き起こされます。影響:この脆弱性を報告してくれた hahahkim 氏、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56848)

  - Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。--permissionでは、1つのパスへのアクセスが許可された攻撃者が、基数木プレフィックス境界処理を悪用して、意図されたファイルシステムの許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。影響:この脆弱性を報告してくれたsy2n0と、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58043)

  - HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互TLS(mTLS)クライアント ID が再利用される可能性があります。
    影響:この脆弱性を報告してくれたyotttと、修正してくれたRafaelGSSに感謝の意を表します。
    (CVE-2026-56850)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 の複数の脆弱性 (2026 年 7 月 29 日水曜日のセキュリティリリース)

high Nessus プラグイン ID 330668

バージョン 1.1