Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1770717358アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - パッチが適用されていないバージョンの OpenSSL をバンドルしているか、パッチが適用されていない動的にリンクされたバージョンの OpenSSL に対して実行される Node.js バージョンは、Marvin 攻撃に対して脆弱です。 - https://people.redhat.com/~hkario/marvin/、秘密鍵を使用して RSA 復号化を実行する際に PCKS #1 v1.5 パディングが許可されている場合。(CVE-2023-46809)

  - node-tar は Node.js の Tar です。バージョン 6.2.1 より前のnode-tarでは、フォルダ作成プロセスで作成されるサブフォルダの数に制限はありません。多数のサブフォルダーを生成する攻撃者は、node-tar を実行しているシステムでメモリを消費し、内部に多くのサブフォルダーがあるパスを使用して Node.js クライアントを実行してから数秒以内にクラッシュする可能性さえあります。バージョン 6.2.1 では、深すぎるサブフォルダーでの抽出を防止することで、この問題を修正しています。(CVE-2024-28863)

  - リモートピアが GOAWAY 通知を送信せずに突然ソケットを閉じると、メモリ漏洩が発生する可能性があります。さらに、無効なヘッダーが nghttp2 によって検出され、接続がピアによって終了した場合にも、同じ漏洩がトリガーされていました。この欠陥により、特定の条件下でメモリ消費の増加やサービス拒否が発生する可能性があります。この脆弱性は、Node.js v18.x、v20.x、v22.x、v23.x の HTTP/2 サーバーユーザーに影響を与えます。(CVE-2025-23085)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etcの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1770717358)

high Nessus プラグイン ID 361750

バージョン 1.1