Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - js-yaml は JavaScript YAML パーサーおよびダンパーです。3.0.0から3.15.2と4.3.2まで、lib/js-yaml/loader.jsとlib/loader.jsのmaxTotalMergeKeysは、マージキー<<の処理中に空のマッピングソースをカウントしません。攻撃者は、空のマッピングの大きなシーケンスを多数のマージターゲットにエイリアスし、totalMergeKeys が変更されず、構成されたリソース制限に達することがない間に O(N * K) 処理を引き起こすことができます。このため、比較的小さい YAML ドキュメントが、信頼されない YAML を解析するアプリケーションで長時間の CPU 消費を引き起こす可能性があり、これらのリリースラインではマージ処理がデフォルトで有効になっています。この問題はバージョン 3.15.2および 4.3.2で修正されています。(CVE-2026-84375)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-84375

high Nessus プラグイン ID 342321

バージョン 1.3