したがって、ALAS2023-2026-3277 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    brace-expansion ライブラリは、共通のプレフィックスおよびサフィックスを含む任意の文字列を生成します。1.1.19、2.1.5、3.0.7、5.0.10より前は、細工されたブレースパターンはparseCommaPartsのネイティブスタックを使い果たす可能性があります。これは、parseCommaPartsがブレースグループごとに1回残りを再帰的に処理し、push.applyを使用して非常に大きなコンマパーツ配列のすべての要素を関数引数として渡すためです。コンマ区切りの中括弧グループが多数含まれるパターンは再帰パスをトリガーしますが、大きな配列は深い再帰なしで引数配列パスをトリガーします。これらのパスは、max または maxLength が出力を制限する前に再帰的および引数配列のネイティブスタックを枯渇させ、プロセスを終了させるサービス拒否でNode.jsプロセスを終了させる可能性があります。この問題はバージョン 1.1.19、2.1.5、3.0.7、5.0.10 で修正されています。(CVE-2026-102276)

    Undici のリトライインターセプタは、元の応答のステータスとヘッダーを提示したまま、以前の部分的な応答からすでに配信されたバイトに、範囲付きリトライ応答の本文を追加できます。これは、Upstream サーバーが、信頼できる再開チェックポイントなしで本文の一部を配信した場合(例えば、ヘッダーが既に送信された不成功応答、あるいは使用できないコンテンツ範囲の部分的なコンテンツ応答など)を配信した後、接続を閉じて、再開された範囲リクエストにより多くのバイト数で応答する場合です。
    その結果、応答本文は、アプリケーションが観察する Content-Length より長くなる可能性があります。フレーミングを正規化せずにそのような応答をダウンストリームの HTTP/1.1 ピアに中継するアプリケーションは、転送された Content-Length を超える本文を出す可能性があり、超過したバイトは後続の応答の開始と解釈され、ダウンストリームの応答の分割または同期解除が可能になります。
    悪用するには、攻撃者がコントロールする Upstream サーバー、およびフレーミングに敏感なパスを通して応答を転送するアプリケーションが必要です。これは、 6.28.1 以前、 7.0.0 から 7.29.1、 8.0.0 から 8.10.2 までの undici バージョンに影響を与えます。ユーザーは、undici 6.28.1、 7.29.1、または 8.10.2 にアップグレードする必要があります。(CVE-2026-18540)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、node-tar は src/pax.ts の全桁 PAX パスおよびリンクパスの値を JavaScript 番号に強制します。これにより、normalizeWindowsPath(entry.path).split('/') などのダウンストリームパス処理が行われ、捕捉されない TypeError をスローします。この問題はバージョン 7.5.18 で修正されています。(CVE-2026-59871)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.17より前のバージョンでは、node-tar は src/pax.ts の PAX パスおよびリンクパスレコードから NULL バイトをストリップしないため、値付きの細工されたアーカイブが fs.lstat または fs.open に到達し、捕捉されない例外でプロセスを終了させる可能性があります。この問題はバージョン 7.5.17 で修正されています。(CVE-2026-59875)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.21より前に、src/list.ts の node-tar の filesFilter は再帰的な mapHas ヘルパーを使用して、tar.t(...) または tar.x(...) が空でないメンバー選択リストを受け取ったとき、セグメントキャップなしでアーカイブエントリパスを上向きに進めます。何千ものスラッシュで区切られたセグメントがある細工された GNU L または PAX の long-path ヘッダーが、Unpack[CHECKPATH] が maxDepth を適用する前に src/parse.ts の Parser[CONSUMEHEADER] の this.filter(entry.path, entry) に到達し、非同期およびストリーミングNode.jsコンシューマーを終了させる捕捉不能な RangeError スタックオーバーフローを引き起こします。この問題はバージョン 7.5.21 で修正されています。(CVE-2026-73566)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-3277)

high Nessus プラグイン ID 371836

バージョン 1.1