Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici の実験的な WebSocketStream クライアントは、リモートピアが WebSocket クローズハンドシェイクなしで TCP 接続を閉じると、Node.jsプロセス全体をクラッシュします。クリーンでないクローズでは、内部のソケットクローズハンドラーが書き込み可能なストリームを中止し、返されたプロミスを破棄しますが、WHATWG ストリーム標準に従って、ロックされた書き込み可能ファイルを中止すると、TypeError で拒否するプロミスが返されます。
    アプリケーションはその書き込み可能なファイルにライターを保持するため、これが書き込みの唯一の方法であるため、拒否は検出されず、ノードのデフォルトの未処理拒否動作によってプロセスが終了します。したがって、信頼できないサーバーが、認証もアプリケーションの誤りもなく、1回の突然の切断でクライアントをクラッシュさせる可能性があります。これは、 7.0.0 から 7.29.1 まで、 8.0.0 から 8.10.2 までの undici バージョンに影響を与えます。ユーザーは、undici 7.29.1 または 8.10.2 にアップグレードする必要があります。(CVE-2026-85014)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-85014

medium Nessus プラグイン ID 343008

バージョン 1.2