AlmaLinux 9.2 [TuxCare] セキュリティ更新:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc の複数の脆弱性 (ALMALINUX9.2:CLSA-2025:1756305640)

medium Nessus プラグイン ID 360516

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1756305640アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- node-tar は Node.js の Tar です。バージョン 6.2.1 より前のnode-tarでは、フォルダ作成プロセスで作成されるサブフォルダの数に制限はありません。多数のサブフォルダーを生成する攻撃者は、node-tar を実行しているシステムでメモリを消費し、内部に多くのサブフォルダーがあるパスを使用して Node.js クライアントを実行してから数秒以内にクラッシュする可能性さえあります。バージョン 6.2.1 では、深すぎるサブフォルダーでの抽出を防止することで、この問題を修正しています。(CVE-2024-28863)

- リモートピアが GOAWAY 通知を送信せずに突然ソケットを閉じると、メモリ漏洩が発生する可能性があります。さらに、無効なヘッダーが nghttp2 によって検出され、接続がピアによって終了した場合にも、同じ漏洩がトリガーされていました。この欠陥により、特定の条件下でメモリ消費の増加やサービス拒否が発生する可能性があります。この脆弱性は、Node.js v18.x、v20.x、v22.x、v23.x の HTTP/2 サーバーユーザーに影響を与えます。(CVE-2025-23085)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。