AlmaLinux 9.2 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1777394614)

high Nessus プラグイン ID 352280

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1777394614アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

- Node.js HTTP リクエスト処理の欠陥により、リクエストが「__proto__」という名前のヘッダーで受信され、アプリケーションが「req.headersDistinct」にアクセスする際、「TypeError」が補足されなくなります。これが発生すると、「dest[__proto__]」は未定義ではなく「Object.prototype」に解決されるため、配列以外で「.push()」が呼び出されます。この例外は、プロパティ getter の内部で同期的にスローされ、「error」イベントリスナーによって傍受できません。つまり、「try/catch」の「req.headersDistinct」アクセスをすべてラップしないと処理できません。この脆弱性は、**20.x、22.x、24.x、v25.x** のすべての Node.js HTTP サーバーに影響します。(CVE-2026-21710)

- nghttp2 は、C のハイパーテキスト転送プロトコルバージョン 2 の実装です。バージョン 1.68.1 より前では、ユーザー向けのパブリック API 「nghttp2_session_terminate_session」または「nghttp2_session_terminate_session2」がアプリケーションによって呼び出されると、nghttp2 ライブラリは受信データの読み取りを停止します。
これらは、接続エラーの対象となる状況を検出したときに、ライブラリによって内部的に呼び出される場合があります。内部状態検証がないため、これらの API の 1 つが呼び出された後に、ライブラリが残りのデータを読み続けます。次に、FRAME_SIZE_ERROR の原因となる無効な形式のフレームを受信すると、アサーション失敗が発生します。nghttp2 v1.68.1 では、アサーション失敗を回避するための欠落している状態検証が追加されています。利用可能な既知の回避策はありません。(CVE-2026-27135)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。