Linux Distros のパッチ未適用の脆弱性: CVE-2026-63402

medium Nessus プラグイン ID 374563

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- i18next は、JavaScript の国際化フレームワークです。バージョン 26.3.4 より前では、「src/utils.js」の「deepExtend」は in 演算子でプロパティの存在をチェックし、「Object.prototype」を通じて到達した継承されたビルトインを再帰させます。アプリケーションは、攻撃者が制御するリソースデータを「deep: true」および「overwrite: true」の両方で「addResourceBundle(lng, ns, data, deep, overwrite)」に明示的に渡さなければなりません。
その後、「hasOwnProperty」、「toString」および「valueOf」などのソースキーは共有された継承された組み込み関数オブジェクトを選択することができ、ネスト化された値はプロセス全体でこれらのオブジェクトのプロパティを上書きできます。たとえば、「Object.prototype.hasOwnProperty.call」を呼び出し不可能にすると、i18next internals を含むその後の使用で TypeError がスローされ、回復不能なサービス拒否が発生し、整合性への影響が限定されます。
破損ターゲットがプロトタイプオブジェクト自体ではなく継承された組み込み関数であるため、「__proto__」/「コンストラクター」ガードはこのメカニズムを防止しません。深いマージまたは上書きの誤った動作を伴わないデフォルトの呼び出しは影響を受けず、標準的な i18next のバックエンドまたは統合では脆弱な構成が使用されません。この問題は、i18next-fs-backend(CVE-2026-48713)および i18next-http-middleware(CVE-2026-48714)の setPath/key-walking プロトタイプ汚染の欠陥とは異なります。この問題はバージョン 26.3.4 で修正されています。(CVE-2026-63402)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2026-63402

プラグインの詳細

深刻度: Medium

ID: 374563

ファイル名: unpatched_CVE_2026_63402.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/10/31

更新日: 2026/10/31

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus