Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.1.6 までの pbkdf2 は、JavaScript フォールバック(lib/sync.js)で反復するたびに、ダイジェストのブロックサイズより長いパスワードを再ハッシュします。ブロックサイズより長いパスワード (64 バイト、sha384 と sha512 の場合は 128 バイト) が反復のたびにキーとして HMAC に渡され、HMAC はそのたびにそのようなキーを完全にハッシュ化します。したがって、コストはO(反復パスワード長)であり、長いパスワードはイベントループをブロックできます。フォールバックは、ネイティブの pbkdf2Sync がライブラリの機能チェックを失敗するため、 0.12 より前の Node.js、Bun(1.0.0 から 1.1.34、 1.2.6 以降)、Deno 2.9.0 以降の pbkdf2Sync と pbkdf2 により使用されます。lib/sync.js を直接インポートする場合にも使用されます。Node.js 0.12 以降、ブラウザビルド(lib/sync-browser.js を使用)は、影響を受けません。妥当な最大パスワード長を強制するアプリケーションは、重大な影響を受けません。(CVE-2026-102414)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-102414

medium Nessus プラグイン ID 351350

バージョン 1.6