Rocky Linux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1790253961アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.0.6 による brace-expansion は、サービス拒否に脆弱です。expand() 関数は、連続する非拡張 '{}' ブレース・グループの数において指数関数的な時間複雑さを示します。攻撃者が細工された文字列を直接的または推移的に expand() に渡すことで、大幅な CPU 消費およびイベントループブロッキングが引き起こされる可能性があります。maxオプションは、再帰作業ではなく出力サイズを制限するため、これを緩和しません。(CVE-2026-13149)

  - 5.0.7 による brace-expansion は、メモリ枯渇によるサービス拒否に脆弱です。expand() 関数は、最大オプション (デフォルトは 100,000) で結果の数を制限しますが、各結果文字列の長さは制限されません。複数の中括弧グループを連鎖させることで、攻撃者は結果カウントを制限以下に抑えながら、それぞれの結果を徐々に長くしてしまうため、処理が致命的な捕捉不能なメモリ不足エラーに遭遇するまで、合計メモリがカウントと文字列の長さの両方で増加します。約 7.5 KB の入力('{a,b}'.repeat(1500))がデフォルトNode.jsプロセスをクラッシュします。攻撃者の影響を受けた文字列を、直接またはミニマッチ/glob 中括弧パターンを介して推移的に brace-expansion.expand() に渡すアプリケーションは、小さなリクエストによってクラッシュする可能性があります。累積された出力と中間配列をバインドする maxLength オプション(デフォルトは 4,000,000)を追加することで、 5.0.8 で修正されました。(CVE-2026-14257)

  - node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.19より前のバージョンでは、node-tar は展開後のデータの合計数、エントリ数、または抽出パスや src/extract.ts などの展開比にハードな上限を強制しません。このため、細工された小さな gzip 爆弾がディスク容量と CPU を使い果たす可能性があります。
    この問題はバージョン 7.5.19 で修正されています。(CVE-2026-59873)

  - node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、tar.replace は、base-256 でエンコードされた負のエントリサイズのチェックサムが有効な tar ヘッダーを受け入れます。これにより、アーカイブスキャナーが同じヘッダーを繰り返し解析している間に何も進みません。この問題はバージョン 7.5.18 で修正されています。
    (CVE-2026-59874)

  - brace-expansion ライブラリは、共通のプレフィックスおよびサフィックスを含む任意の文字列を生成します。1.1.18、2.1.4、3.0.6、5.0.9より前では、expand() はコンマ代替中間配列またはパディングシーケンスを構築する際に maxLength を適用しません。これにより、攻撃者がコントロールする入力がメモリを消費したり、イベントループをブロックしたりすることが可能です。CVE-2026-14257の修正は、この脆弱性によりバイパスされます。この問題はバージョン 1.1.18、2.1.4、3.0.6、5.0.9 で修正されています。(CVE-2026-69152)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:nodejs/nodejs-devel/nodejs-docs/nodejs-full-i18n/etcの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1790253961)

critical Nessus プラグイン ID 359876