Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Morgan は、Node.js 向けの HTTP リクエストロガーミドルウェアです。1.12.1より前のバージョンでは、escapeLogField()関数は、モーガンが発行するApache結合ログフォーマットの引用符で囲まれたフィールドを区切る二重引用符文字をエスケープしません。User-Agent や Referer ヘッダーなどの引用符で囲まれたフィールドに書き込まれた値を制御する、認証されていないリモートの攻撃者は、二重引用符を含めることでそのフィールドを早期に閉じることができます。このため、フィールドの位置別にログを解析するログコンシューマーは、攻撃者が指定したテキストを次のフィールドとして読み取る可能性があります。これにより、内蔵形式では、記録された値は送信された値と異なっていました。また、サーバーが制御するトークンの前に攻撃者が制御するトークンを引用するカスタム形式では、応答ステータスなどの値を偽造する可能性があります。改行は挿入されないため、レコードの分離はそのまま残ります。この問題は、二重引用符をエスケープする morgan 1.12.1 で修正されています。ユーザーは、Morgan 1.12.1 以降にアップグレードする必要があります。(CVE-2026-87859)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-87859

medium Nessus プラグイン ID 344722

バージョン 1.2