Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 「zlib」Node.jsの欠陥。ZipFile」API により、ローカルおよびセントラルヘッダーの検証が失敗した後、リクエストされたエントリに属さないバイトが返される可能性があります。ローカルヘッダーが中央ディレクトリと一致しないアーカイブ上で直接またはアーカイブの圧縮中に「zipEntry.modified」が読み取られると、検証エラーは捕捉されますが、解析されたローカルヘッダーはコンテンツオフセットなしでキャッシュされたままになります。その後、コンテンツの読み込みでは、アーカイブを拒否する代わりにファイルの先頭から攻撃者が制御するバイトを返します。また、CRC-32 検証は依然として合格します。これは、攻撃者が中央ディレクトリの CRC をコントロールしているためです。
    したがって、Node.jsベースのスキャナーは、別の ZIP 実装が同じアーカイブから抽出するコンテンツとは異なるコンテンツを承認できます。この脆弱性は、Node.js **26.x** に影響を与えます。(CVE-2026-106070)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-106070

low Nessus プラグイン ID 371306

バージョン 1.8