Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios バージョン >=1.13.0 (Node.js HTTP アダプター)は、リクエストが httpVersion: 2 で送信されたとき、ストリームされたリクエスト本文に対して構成済みの maxBodyLength 制限を強制できません。 Node の HTTP/2 リクエスト API は maxBodyLength オプションを遵守せず、また、axios のバイトカウンティングストリームラッパーは maxRedirects === 0 でゲートされるため、axios に渡されるストリームをコントロールする攻撃者が、アプリケーションに構成された有限の maxBodyLength を超えるアウトバウンドデータを送信させる可能性があります。影響は、リソース消費とポリシーバイパス(過剰なエグレス、アップストリームクォータ消費、可用性の制限)に限定されています。コードの実行、認証情報の漏洩、リクエスト宛先制御は有効になりません。デフォルトの maxBodyLength: -1 を使用した呼び出しとブラウザアダプターは、影響を受けません。(CVE-2026-67318)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-67318

medium Nessus プラグイン ID 332119

バージョン 1.1