Rocky Linux 9ホストには、CIQ crlsa-2026_35891 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * ip-address: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (CVE-2026-42338)

    * undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (CVE-2026-12151)。

    * undici: Undici: 不適切なキャッシュコントロールヘッダー解析による情報漏洩 (CVE-2026-9678)。

    * undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性。(CVE-2026-6733)

    * undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (CVE-2026-11525)

    * undici: undici: SOCKS5 プロキシで無視された TLS オプションを介した中間者攻撃 (CVE-2026-9697)

    * undici: undici: 不適切な Socks5ProxyAgent 接続ルーティングによる情報漏洩およびデータ完全性の問題 (CVE-2026-6734)

    * nodejs: Node.js: 無制限の HTTP/2 ORIGIN フレームによるサービス拒否 (CVE-2026-48619)

    * nodejs: Node.js: TLS 処理における embedded-nul ホスト名によるサイレントな権限再バインド (CVE-2026-48930)

    * nodejs: Node.js: 未承認のファイルメタデータ変更 (CVE-2026-48935)

    * nodejs: Node.js WebCrypto: subtle.encrypt() への大きな入力によるサービス拒否 (CVE-2026-48933)

    * nodejs: Node.js: TLS ホスト検証における証明書検証バイパス (CVE-2026-48934)

    * Node.js: Node.js: ホスト名照合の不一致による信頼ポリシーのバイパス (CVE-2026-48928)

    * nodejs: Node.js: プロキシトンネルエラー処理を介したプロキシ認証情報の情報漏洩 (CVE-2026-48615)

    * nodejs: Node.js: TLS ホスト名処理と Unicode ドットセパレーターの不一致による認証バイパス (CVE-2026-48618)

    バグ修正と拡張機能:

    * nodejs:24/nodejs: 最新の Node.js 24 リリース [rhel-9.8.z] へのリベース (JIRA:Rocky Linux-186580)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2026_35891)

medium Nessus プラグイン ID 357494

依存が見つかりません