Linux Distros のパッチ未適用の脆弱性: CVE-2026-84373

medium Nessus プラグイン ID 342338

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Vitest は、Vite で稼働するテストフレームワークです。2.1.0から 4.1.11 および 5.0.0-rc.2 まで、packages/mocker/src/node/interceptorPlugin.ts のパブリック mockerPlugin およびスタンドアロン interceptorPlugin エクスポートは、ファイル提供の許可リストに対してリダイレクトターゲットを検証せずに、Vite の認証されていない HMR WebSocket に vitest:interceptor:register ハンドラーを登録します。この実装では、isFileLoadingAllowedを介してserver.fs.allowとserver.fs.denyを強制せずにevent.redirectを処理します。露出された開発サーバーに到達できるリモートクライアントが、..
これにより、join(server.config.root, redirectUrl.pathname) がプロジェクト root の外部で解決されます。次に、プラグインのロードフックがモジュールソースとして readFile(mock.redirect, 'utf-8') を返し、dev-server プロセスが読み取れるローカルファイルを漏洩します。Vitest ブラウザモードは、トークン認証済み RPC を使用しており、リモートからデフォルトで認証解除されていません。ただし、同じ境界検査がパスで欠如していました。この問題は、バージョン 4.1.11 および 5.0.0-rc.2 で修正されています。(CVE-2026-84373)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://access.redhat.com/security/cve/cve-2026-84373

プラグインの詳細

深刻度: Medium

ID: 342338

ファイル名: unpatched_CVE_2026_84373.nasl

バージョン: 1.2

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/9/2

更新日: 2026/9/3

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus