リモートホストにインストールされている Node.js のバージョンは、22.23.2、24.18.1、26.5.1より前のものです。したがって、2026 年 7 月 29 日水曜日のセキュリティリリースのアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Node.js の欠陥により、偽装された TypedArray byteLength が同期 node:zlib API で到達可能なアサーションをトリガーし、プロセスをクラッシュさせる可能性があります。この条件で悪用が繰り返されると、サービスの提供が拒否される可能性があります。影響: この脆弱性を報告してくれた byvini 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2026-58045)

  - Node.js HTTP/2 処理の欠陥により、保持されたヘッダーブロックが maxSessionMemory 制限を回避し、リモートメモリを枯渇させる可能性があります。影響: この脆弱性を報告してくれた leduckhuong 氏に、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56846)

  - Node.js HTTP/2 処理の欠陥により、nghttp2_session_mem_recv() の実行中に nghttp2_session_mem_send() が再入的に呼び出され、heap-use-after-free が引き起こされます。影響: この脆弱性を報告してくれた hahahkim 氏に、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56848)

  - Node.js アクセス許可モデル強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセス権が過剰に付与される可能性があります。--permission では、1 つのパスへのアクセスが許可された攻撃者が、基数木プレフィックスの境界処理を悪用して、意図されたファイルシステムの許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。影響: この脆弱性を報告してくれた sy2n0 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2026-58043)

  - Node.js HTTPS Agent 接続再利用の欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS (mTLS) クライアント ID が再利用される可能性があります。
    この脆弱性を報告してくれた yottt 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2026-56850)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 22.x < 22.23.2/24.x < 24.18.1/26.x < 26.5.1 の複数の脆弱性 (2026 年 7 月 29 日水曜日のセキュリティリリース)。

high Nessus プラグイン ID 330668

バージョン 1.5