AlmaLinux 9.2 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1776782592)

high Nessus プラグイン ID 352310

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1776782592アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- minimatch は、glob 式を JavaScript RegExp オブジェクトに変換するための最小限のマッチングユーティリティです。
バージョン 10.2.0 以前は、glob パターンに多数の連続する * ワイルドカードがテスト文字列に表示されないリテラル文字が後に続く場合、正規表現のサービス拒否(ReDoS)に対する脆弱性があります。各 * は個別の [^/]*?regex グループを作成し、一致に失敗すると、V8 の正規表現エンジンはすべての可能な分割を指数関数的にバックトラックします。時間計算量は O(4^N) で、N は * 文字数です。N=15 の場合、1 回の minimatch() 呼び出しに ~2 秒かかります。N=34 の場合、これは事実上永遠にハングします。ユーザー制御文字列をパターン引数として minimatch() に渡すアプリケーションは、DoS に対して脆弱です。この問題はバージョン 10.2.1で修正されています。(CVE-2026-26996)

- minimatch は、glob 式を JavaScript RegExp オブジェクトに変換するための最小限のマッチングユーティリティです。
バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、および 3.1.4 より前では、ネスト化された「*()」extglob は、ネスト化された無限修飾子(例:「(?:(?:a|b)*)*」)を含む regexp を生成します。これは、V8 で壊滅的なバックトラッキングを示しています。12 バイトのパターン「*(*(*(a|b)))」および 18 バイトの非一致入力では、「minimatch()」が 7 秒以上停止します。1 つのネストレベルまたはいくつかの入力文字を追加すると、これは分単位で短縮されます。
これは最も深刻な検出結果です。デフォルトの「minimatch()」APIでトリガーされ、特別なオプションはなく、実行可能な最小パターンはわずか12バイトです。同じ問題が、「+()」extglob に等しく影響を与えます。バージョン 10.2.3、 9.0.7、 8.0.6、 7.4.8、 6.2.2、 5.1.8、 4.2.5、および 3.1.4 では、この問題が修正されます。(CVE-2026-27904)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。