リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4261-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-22150:undici:マルチパート/フォームデータリクエスト(bsc#1236258)の境界を定義する際に使用するランダム値が不十分です。
    - CVE-2025-23166:非同期暗号化操作でのエラー処理が不適切であると、プロセスがクラッシュします(bsc#1243218)。
    - CVE-2025-23167:llhttp:llhttp における不適切な HTTP ヘッダーブロック終端(bsc#1243220)。
    - CVE-2025-55131:タイムアウトベースの競合状態により、前の操作の残りデータを含む割り当てが可能になり、プロセスのシークレット(bsc#1256570)の漏洩につながります。
    - CVE-2025-59465:無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームは、処理されないエラーにより、クラッシュを引き起こす可能性があります(bsc#1256573)。
    - CVE-2025-59466:「async_hooks.createHook()」が有効な場合、捕捉できない「Maximum call stack size exceeded」エラーにより、クラッシュが発生する可能性があります(bsc#1256574)。
    - CVE-2025-62408:c-ares 1.32.3-1.34.5 free() 後の使用(bsc#1254738)。
    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-15157:HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません(bsc#1272958)。
    - CVE-2026-16728:undici:インターセプタ再試行によるダウンストリーム応答の非同期化(bsc#1273593)。
    - CVE-2026-16729:undici:undici の setCookie 関数は、クッキー属性を完全にサニタイズしません(bsc#1273591)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-22036:undici:Content-Encoding を介した HTTP 応答の無限展開チェーンが、リソース枯渇につながる可能性があります(bsc#1256848)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
    - CVE-2026-56846:HTTP/2 の保持ヘッダーが maxSessionMemory 制限をバイパスする可能性があります(bsc#1272941)。
    - CVE-2026-56848:HTTP/2 の再入式送信が heap-use-after-free(bsc#1272942)を引き起こす可能性があります。
    - CVE-2026-56850: HTTPS Agent は PFX 証明書間で mTLS アイデンティティを再利用できます (bsc#1272944)。
    - CVE-2026-58040:HTTPS エージェントセッションの再利用により、ホスト名の検証がスキップされる可能性があります(bsc#1272945)。
    - CVE-2026-58042:dns.resolveAny() は、多数の A レコードのある DNS 応答で中止する可能性があります(bsc#1272947)。
    - CVE-2026-58043:アクセス許可モデルのパスマッチングにより、ファイルシステムアクセスが過剰に付与される可能性があります(bsc#1272943)。
    - CVE-2026-58044:HTTP パーサーヘッダーの切り捨てにより、リクエストスマグリングが可能になる可能性があります(bsc#1272951)。
    - CVE-2026-58045:node:zlib 同期 API が、偽装された TypedArray の長さでクラッシュする可能性があります(bsc#1272948)。

    nodejs18 の変更:

    - Embedded undici を 6.28.0 にアップグレードしました。
    - 埋め込み nghttp2 を 1.69.0 にアップグレードしました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 セキュリティ更新 : nodejs18 (SUSE-SU-2026:4261-1)

critical Nessus プラグイン ID 348277

バージョン 1.2