Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ip-address は、JavaScript で IPv4 および IPv6 アドレスを解析および操作するためのライブラリです。10.1.1 年から 10.2.2 まで、すべての特殊用途の分類メソッドは isInSubnet に基づいて構築され、アドレス自身のサブネットマスクが参照範囲のマスクより短い場合は常に false に短絡します。このマスクは解析された入力のCIDRサフィックスから逐語的に取得されるため、/0などのサフィックスを追加すると、分類が完全に抑制されます:isLoopback()、isPrivate()、isLinkLocal()、isCGNAT()、isMulticast()、isUnspecified()、isUnspecified()、isULA()、getType()はすべて、内部アドレスを目立たないものとして報告しますが、correctForm()とaddressは引き続き実際の内部ターゲットを返します。したがって、これらのチェックに基づいてネットワーク信頼境界の決定を構築するアプリケーション(たとえば、サーバーサイドリクエストフォージェリ(SSRF)をブロックするためのフィルター)は、内部ターゲットを外部ターゲットとして扱い、リクエストを許可する可能性があります。基礎となるビット比較は正しく、 mask(n) は subnetMask とは無関係に、完全な解析済みアドレスの最初の n ビットをすでに返しています。不具合は、封じ込めガードが分類パスにあることだけです。この問題はバージョン 10.2.2 で修正されています。(CVE-2026-69198)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-69198

medium Nessus プラグイン ID 332112

バージョン 1.4