リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4261-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-22150:undici:マルチパート/フォームデータリクエスト(bsc#1236258)の境界を定義する際に使用するランダム値が不十分です。
    - CVE-2025-23166:非同期暗号化操作でのエラー処理が不適切であると、プロセスがクラッシュします(bsc#1243218)。
    - CVE-2025-23167:llhttp:llhttp における不適切な HTTP ヘッダーブロック終端(bsc#1243220)。
    - CVE-2025-55131:タイムアウトベースの競合状態により、前の操作の残りデータを含む割り当てが可能になり、プロセスのシークレット(bsc#1256570)の漏洩につながります。
    - CVE-2025-59465:無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームは、処理されないエラーにより、クラッシュを引き起こす可能性があります(bsc#1256573)。
    - CVE-2025-59466:「async_hooks.createHook()」が有効な場合、捕捉できない「Maximum call stack size exceeded」エラーにより、クラッシュが発生する可能性があります(bsc#1256574)。
    - CVE-2025-62408:c-ares 1.32.3-1.34.5 free() 後の使用(bsc#1254738)。
    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-15157:HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません(bsc#1272958)。
    - CVE-2026-16728:undici:インターセプタ再試行によるダウンストリーム応答の非同期化(bsc#1273593)。
    - CVE-2026-16729:undici:undici の setCookie 関数は、クッキー属性を完全にサニタイズしません(bsc#1273591)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-22036:undici:Content-Encoding を介した HTTP 応答の無限展開チェーンが、リソース枯渇につながる可能性があります(bsc#1256848)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
    - CVE-2026-56846:HTTP/2 の保持ヘッダーが maxSessionMemory 制限をバイパスする可能性があります(bsc#1272941)。
    - CVE-2026-56848:HTTP/2 の再入式送信が heap-use-after-free(bsc#1272942)を引き起こす可能性があります。
    - CVE-2026-56850: HTTPS Agent は PFX 証明書間で mTLS アイデンティティを再利用できます (bsc#1272944)。
    - CVE-2026-58040:HTTPS エージェントセッションの再利用により、ホスト名の検証がスキップされる可能性があります(bsc#1272945)。
    - CVE-2026-58042:dns.resolveAny() は、多数の A レコードのある DNS 応答で中止する可能性があります(bsc#1272947)。
    - CVE-2026-58043:アクセス許可モデルのパスマッチングにより、ファイルシステムアクセスが過剰に付与される可能性があります(bsc#1272943)。
    - CVE-2026-58044:HTTP パーサーヘッダーの切り捨てにより、リクエストスマグリングが可能になる可能性があります(bsc#1272951)。
    - CVE-2026-58045:node:zlib 同期 API が、偽装された TypedArray の長さでクラッシュする可能性があります(bsc#1272948)。

    nodejs18 の変更:

    - Embedded undici を 6.28.0 にアップグレードしました。
    - 埋め込み nghttp2 を 1.69.0 にアップグレードしました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2026:4248-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-22150:undici:マルチパート/フォームデータリクエスト(bsc#1236258)の境界を定義する際に使用するランダム値が不十分です。
    - CVE-2025-23166:非同期暗号化操作でのエラー処理が不適切であると、プロセスがクラッシュします(bsc#1243218)。
    - CVE-2025-23167:llhttp:llhttp における不適切な HTTP ヘッダーブロック終端(bsc#1243220)。
    - CVE-2025-55131:タイムアウトベースの競合状態により、前の操作の残りデータを含む割り当てが可能になり、プロセスのシークレット(bsc#1256570)の漏洩につながります。
    - CVE-2025-59465:無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームは、処理されないエラーにより、クラッシュを引き起こす可能性があります(bsc#1256573)。
    - CVE-2025-59466:「async_hooks.createHook()」が有効な場合、捕捉できない「Maximum call stack size exceeded」エラーにより、クラッシュが発生する可能性があります(bsc#1256574)。
    - CVE-2025-62408:c-ares 1.32.3-1.34.5 free() 後の使用(bsc#1254738)。
    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-15157:HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません(bsc#1272958)。
    - CVE-2026-16728:undici:インターセプタ再試行によるダウンストリーム応答の非同期化(bsc#1273593)。
    - CVE-2026-16729:undici:undici の setCookie 関数は、クッキー属性を完全にサニタイズしません(bsc#1273591)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-22036:undici:Content-Encoding を介した HTTP 応答の無限展開チェーンが、リソース枯渇につながる可能性があります(bsc#1256848)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
    - CVE-2026-56846:HTTP/2 の保持ヘッダーが maxSessionMemory 制限をバイパスする可能性があります(bsc#1272941)。
    - CVE-2026-56848:HTTP/2 の再入式送信が heap-use-after-free(bsc#1272942)を引き起こす可能性があります。
    - CVE-2026-56850: HTTPS Agent は PFX 証明書間で mTLS アイデンティティを再利用できます (bsc#1272944)。
    - CVE-2026-58040:HTTPS エージェントセッションの再利用により、ホスト名の検証がスキップされる可能性があります(bsc#1272945)。
    - CVE-2026-58042:dns.resolveAny() は、多数の A レコードのある DNS 応答で中止する可能性があります(bsc#1272947)。
    - CVE-2026-58043:アクセス許可モデルのパスマッチングにより、ファイルシステムアクセスが過剰に付与される可能性があります(bsc#1272943)。
    - CVE-2026-58044:HTTP パーサーヘッダーの切り捨てにより、リクエストスマグリングが可能になる可能性があります(bsc#1272951)。
    - CVE-2026-58045:node:zlib 同期 API が、偽装された TypedArray の長さでクラッシュする可能性があります(bsc#1272948)。

    nodejs18 の変更:

    - Embedded undici を 6.28.0 にアップグレードしました。
    - 埋め込み nghttp2 を 1.69.0 にアップグレードしました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2060 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    5.0.6 によるブレース拡張は、サービス拒否に脆弱です。expand() 関数は、連続する非拡張 '{}' ブレース・グループの数において指数関数的な時間複雑さを示します。攻撃者が細工された文字列を直接的または推移的に expand() に渡すことで、大幅な CPU 消費およびイベントループブロッキングが引き起こされる可能性があります。maxオプションは、再帰作業ではなく出力サイズを制限するため、これを緩和しません。(CVE-2026-13149)

    undici は、HTTP/1.1 ディスパッチャー上で Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません。6.28.0より前、7.0.0から7.29.0より前、8.0.0から8.9.0より前のundciでは、信頼できない入力から型が派生した(リクエスト、ストリーム、パイプライン、またはディスパッチを介して)手動で巻かれたブロブのようなボディを渡すアプリケーションにより、攻撃者がCRLFシーケンスを挿入し、任意のHTTPヘッダーを追加して、2番目のリクエストを上流を経由してスマグリングする可能性があります。ネイティブ Blob オブジェクトは、コンストラクターが型から CRLF を striping するため安全であり、ヘッダーを検証するため fetch は影響を受けませんが、ユーザー入力から duck 型の blob 形状を構築するエコシステムライブラリは脆弱なパスに到達する可能性があります。これは、ヘッダーシンクの CVE-2022-35948 や CVE-2026-1527 と同じ欠陥クラスですが、以前の修正はカバーしていませんでした。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-15157)

    undici の再試行インターセプターが、部分的な応答の再試行または再開後にアプリケーションに露出した Content-Length ヘッダーと本文の長さが一致しない応答を配信する可能性があります。6.28.0 より前、7.0.0 から 7.29.0 より前、および 8.0.0 から 8.9.0 より前の undici では、悪意のあるまたは障害のある Upstream が、一致しないフレーミングヘッダーを含む部分的な応答を返し、ソケットを早期に閉じ、元の Content-Length が接続されたままで、再試行インターセプターに異なる長さのボディを組み立てさせる可能性があります。
    その後、再試行インターセプタを使用し、プロキシやゲートウェイなどのアップストリームのヘッダーと本体をダウンストリームに転送するアプリケーションは、古いコンテンツ長を持つ無効な HTTP 応答を発行する可能性があります。これにより、ダウンストリーム応答の同期解除、接続のハングアップ、または応答破損が発生します。悪用するには、再試行インターセプタの有効化、一致しない部分応答を返す上流、および Content-Length を削除または再計算しない下流フォワーダーが必要です。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16728)

    undici の setCookie 関数は、クッキー属性を完全にはサニタイズしません。6.28.0 より前、7.0.0 から 7.29.0 より前、8.0.0 から 8.9.0 より前の undici では、ドメイン値のセミコロンがチェックされず、解析されていない配列のエントリがサニタイズされません。そのため、攻撃者の影響を受ける入力が、追加のクッキー属性を注入する可能性があります。たとえば、セミコロンを含むドメイン値には SameSite などの属性を追加でき、解析されていないエントリには、呼び出し元が設定しなくても HttpOnly などの属性を挿入できます。セッション Cookie をテナント指定のドメインにスコープするマルチテナントまたはリバースプロキシサーバーなど、ユーザー制御の入力をこれらのフィールドに渡すアプリケーションでは、SameSite CSRF 保護がバイパスされたり、Secure、HttpOnly、SameSite 属性が強制、削除、またはオーバーライドされたりする可能性があります。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16729)

    チェックインe807d4e3798efd53前のSQLite 3.53.1 およびSQLiteトランクビルドのSQLiteセッション拡張機能におけるNULLポインターデリファレンスにより、不正な形式の変更セットBLOBを供給できる攻撃者がサービス拒否を引き起こす可能性があります。この問題は、sqlite3changeset_apply_v3()が破損した変更セットを適用し、NULL sqlite3_valueポインターでsqlite3_value_type()に到達したときに発生します。(CVE-2026-50812)

    HTTP/2 の保持ヘッダーは maxSessionMemory 制限をバイパスできます(CVE-2026-56846)

    Node.js許可モデル実施における欠陥により、「trace_events.createTracing().enable()」が「--allow-fs-write」外側にトレースログを書き込む可能性があります。これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、**22.x**、**24.x** Node.jsに影響します。
    **26.x**。(CVE-2026-56847)

    Node.js HTTP/2処理の欠陥により、nghttp2_session_mem_recv()の実行中にnghttp2_session_mem_send()が再入的に呼び出され、ヒープのメモリ解放後使用(Use After Free)が発生する可能性があります。(CVE-2026-56848)

    HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS(mTLS)クライアント ID が再利用される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-56850)

    Node.js許可モデルの適用における欠陥により、process.report はファイルを外部に書き込み(および上書き)できます
    --allow-fs-write パス。

    これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。(CVE-2026-58039)

    Node.js で不完全な修正が特定されました:HTTPS エージェントTLSセッションの再利用により、ID ポリシー全体でホスト名の検証がスキップされます( CVE-2026-48934の不完全な修正)。この脆弱性は、Node.js **22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58040)

    Node.jsの欠陥により、DNS応答に256件を超えるAレコードが含まれているとき、dns.resolveAny()がプロセスを中止する可能性があります。

    この状態を繰り返しトリガーすると、サービス拒否を引き起こす可能性があります。(CVE-2026-58042)

    Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。「--permission」では、1つのパスへのアクセスが許可された攻撃者が、境界処理を悪用して、意図されたファイルシステム許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。この脆弱性は、Node.js **main**、**22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58043)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.19より前のバージョンでは、node-tar は展開後のデータの合計数、エントリ数、または抽出パスや src/extract.ts などの展開比にハードな上限を強制しません。このため、細工された小さな gzip 爆弾がディスク容量と CPU を使い果たす可能性があります。
    この問題はバージョン 7.5.19 で修正されています。(CVE-2026-59873)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、tar.replace は、base-256 でエンコードされた負のエントリサイズのチェックサムが有効な tar ヘッダーを受け入れます。これにより、アーカイブスキャナーが同じヘッダーを繰り返し解析している間に何も進みません。この問題はバージョン 7.5.18 で修正されています。
    (CVE-2026-59874)

    無制限のDNS名圧縮ポインターチェーンを介したCPU枯渇サービス拒否(CVE-2026-69184)

    11.2.7 からのパッケージ pacote のバージョンは、addGitSha 関数を介したサービス拒否(DoS)に対して脆弱です。攻撃者は、関数の正規表現置換および文字列操作ロジックを発生させる特別に細工された spec.rawSpec 値を供給することでこの脆弱性を悪用し、過剰な CPU 消費を引き起こし、プロセスを停止またはクラッシュさせる可能性があります。(CVE-2026-9496)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici の setCookie 関数は、クッキー属性を完全にはサニタイズしません。6.28.0 より前、7.0.0 から 7.29.0 より前、8.0.0 から 8.9.0 より前の undici では、ドメイン値のセミコロンがチェックされず、解析されていない配列のエントリがサニタイズされません。そのため、攻撃者の影響を受ける入力が、追加のクッキー属性を注入する可能性があります。たとえば、セミコロンを含むドメイン値には SameSite などの属性を追加でき、解析されていないエントリには、呼び出し元が設定しなくても HttpOnly などの属性を挿入できます。セッション Cookie をテナント指定のドメインにスコープするマルチテナントまたはリバースプロキシサーバーなど、ユーザー制御の入力をこれらのフィールドに渡すアプリケーションでは、SameSite CSRF 保護がバイパスされたり、Secure、HttpOnly、SameSite 属性が強制、削除、またはオーバーライドされたりする可能性があります。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16729)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-2059 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    5.0.6 によるブレース拡張は、サービス拒否に脆弱です。expand() 関数は、連続する非拡張 '{}' ブレース・グループの数において指数関数的な時間複雑さを示します。攻撃者が細工された文字列を直接的または推移的に expand() に渡すことで、大幅な CPU 消費およびイベントループブロッキングが引き起こされる可能性があります。maxオプションは、再帰作業ではなく出力サイズを制限するため、これを緩和しません。(CVE-2026-13149)

    undici のキャッシュインターセプタが、無効な形式の Cache-Control プライベートディレクティブを不適切に処理します。7.29.0より前まで、8.0.08.9.0より前までの undici 7.0.0では、空の値に private を設定するなど、退化修飾プライベートディレクティブを運ぶ応答が、デフォルトの共有キャッシュに保存され、後で同じキャッシュキーで異なる呼び出し元に提供され、プライベート応答本体と Set-Cookie を含むヘッダーが漏洩する可能性があります。これとは別に、認証されていないプライベートディレクティブと修飾ディレクティブを組み合わせた Cache-Control ヘッダーにより、キャッシュコントロールパーサーで捕捉されない TypeError が発生します。これにより、リクエストが拒否され、コンシューマーのエラー処理によっては、プロセスが終了する可能性があります。両方の問題は、デフォルト構成を含め、共有モードでキャッシュインターセプタを使用しているアプリケーションに影響を与えます。この問題は undici 7.29.0 および 8.9.0 で修正されています。(CVE-2026-13697)

    undici のキャッシュインターセプタは、限定された no-cache またはプライベートな Cache-Control ディレクティブの等号の周囲に配置されるオプションの空白を誤って処理します。7.0.0 から 7.29.0 以前、および 8.0.0 から 8.9.0 より前の undici では、パーサーがディレクティブをドロップするか、リテラル引用符文字を含むフィールド名を保存するため、キャッシュ判定は修飾を認識できず、応答は保存されます。共有キャッシュモードでは、両方のリクエストが同じキャッシュキーで解決された場合、これにより、1 人のユーザーの認証済みデータを含む応答が、キャッシュから後の呼び出し元へ(認証されていないものも含む)提供されます。これは、共有モードでキャッシュインターセプタを有効にし、Authorization ヘッダーを上流に転送し、等号の周囲に空白がある修飾ディレクティブを持つキャッシュ可能な応答を受信するアプリケーションに影響します。これは、 CVE-2026-9678 の修正が正規化しなかった whitespace-around-equals バリアントであり、undici 7.29.0 および 8.9.0 で修正されています。(CVE-2026-14643)

    undici は、HTTP/1.1 ディスパッチャー上で Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません。6.28.0より前、7.0.0から7.29.0より前、8.0.0から8.9.0より前のundciでは、信頼できない入力から型が派生した(リクエスト、ストリーム、パイプライン、またはディスパッチを介して)手動で巻かれたブロブのようなボディを渡すアプリケーションにより、攻撃者がCRLFシーケンスを挿入し、任意のHTTPヘッダーを追加して、2番目のリクエストを上流を経由してスマグリングする可能性があります。ネイティブ Blob オブジェクトは、コンストラクターが型から CRLF を striping するため安全であり、ヘッダーを検証するため fetch は影響を受けませんが、ユーザー入力から duck 型の blob 形状を構築するエコシステムライブラリは脆弱なパスに到達する可能性があります。これは、ヘッダーシンクの CVE-2022-35948 や CVE-2026-1527 と同じ欠陥クラスですが、以前の修正はカバーしていませんでした。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-15157)

    undici の再試行インターセプターが、部分的な応答の再試行または再開後にアプリケーションに露出した Content-Length ヘッダーと本文の長さが一致しない応答を配信する可能性があります。6.28.0 より前、7.0.0 から 7.29.0 より前、および 8.0.0 から 8.9.0 より前の undici では、悪意のあるまたは障害のある Upstream が、一致しないフレーミングヘッダーを含む部分的な応答を返し、ソケットを早期に閉じ、元の Content-Length が接続されたままで、再試行インターセプターに異なる長さのボディを組み立てさせる可能性があります。
    その後、再試行インターセプタを使用し、プロキシやゲートウェイなどのアップストリームのヘッダーと本体をダウンストリームに転送するアプリケーションは、古いコンテンツ長を持つ無効な HTTP 応答を発行する可能性があります。これにより、ダウンストリーム応答の同期解除、接続のハングアップ、または応答破損が発生します。悪用するには、再試行インターセプタの有効化、一致しない部分応答を返す上流、および Content-Length を削除または再計算しない下流フォワーダーが必要です。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16728)

    undici の setCookie 関数は、クッキー属性を完全にはサニタイズしません。6.28.0 より前、7.0.0 から 7.29.0 より前、8.0.0 から 8.9.0 より前の undici では、ドメイン値のセミコロンがチェックされず、解析されていない配列のエントリがサニタイズされません。そのため、攻撃者の影響を受ける入力が、追加のクッキー属性を注入する可能性があります。たとえば、セミコロンを含むドメイン値には SameSite などの属性を追加でき、解析されていないエントリには、呼び出し元が設定しなくても HttpOnly などの属性を挿入できます。セッション Cookie をテナント指定のドメインにスコープするマルチテナントまたはリバースプロキシサーバーなど、ユーザー制御の入力をこれらのフィールドに渡すアプリケーションでは、SameSite CSRF 保護がバイパスされたり、Secure、HttpOnly、SameSite 属性が強制、削除、またはオーバーライドされたりする可能性があります。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16729)

    node-tar は、Node.js 用のフル機能の Tar です。7.5.16の前に、tar(node-tar)は PAX 拡張ヘッダーの size= record(およびその他の PAX オーバーライド)を、GNU long-name(L)エントリまたは long-link(K)エントリなどの中間メタデータヘッダーを含む、任意のタイプの次のヘッダーエントリに適用します。POSIX pax では、PAX 拡張ヘッダー(x)は次のファイルエントリを記述します。これは、x ヘッダーと注釈を付けるファイルの間にある中間拡張ヘッダーではありません。node-tar によって PAX サイズが中間の L/K/x ヘッダーのバイト長をオーバーライドできるため、攻撃者が node-tar のストリームカーソルを、他の主流の tar 実装すべて(GNU tar、libarchive/bsdtar、Python tarfile、および現在修正された tar-rs/astral-tokio-tar)と比較して非同期化する可能性があります。その結果、tar パーサーの解釈の違いが生じます(CWE-436):単一の細工されたアーカイブにより、参照 tar ツールの node-tar 下とは異なるメンバーのセットが生成されます。攻撃者はこれを利用して、あるパーサーからは表示されているが、別のパーサーからは表示されるメンバーを隠すことで、スキャナーと抽出器がアーカイブの内容に一致しないセキュリティツールを無駄にする可能性があります(例:マルウェア/シークレットスキャナー、あるライブラリでエントリを一覧表示し、下流のステップで別のライブラリで抽出)。 この脆弱性は 7.5.16で修正されています。(CVE-2026-53655)

    HTTP/2 の保持ヘッダーは maxSessionMemory 制限をバイパスできます(CVE-2026-56846)

    Node.js許可モデル実施における欠陥により、「trace_events.createTracing().enable()」が「--allow-fs-write」外側にトレースログを書き込む可能性があります。これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、**22.x**、**24.x** Node.jsに影響します。
    **26.x**。(CVE-2026-56847)

    Node.js HTTP/2処理の欠陥により、nghttp2_session_mem_recv()の実行中にnghttp2_session_mem_send()が再入的に呼び出され、ヒープのメモリ解放後使用(Use After Free)が発生する可能性があります。(CVE-2026-56848)

    HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS(mTLS)クライアント ID が再利用される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-56850)

    Node.js許可モデルの適用における欠陥により、process.report はファイルを外部に書き込み(および上書き)できます
    --allow-fs-write パス。

    これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。(CVE-2026-58039)

    Node.js で不完全な修正が特定されました:HTTPS エージェントTLSセッションの再利用により、ID ポリシー全体でホスト名の検証がスキップされます( CVE-2026-48934の不完全な修正)。この脆弱性は、Node.js **22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58040)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    Node.jsの欠陥により、DNS応答に256件を超えるAレコードが含まれているとき、dns.resolveAny()がプロセスを中止する可能性があります。

    この状態を繰り返しトリガーすると、サービス拒否を引き起こす可能性があります。(CVE-2026-58042)

    Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。「--permission」では、1つのパスへのアクセスが許可された攻撃者が、境界処理を悪用して、意図されたファイルシステム許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。この脆弱性は、Node.js **main**、**22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58043)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、node-tar は src/pax.ts の全桁 PAX パスおよびリンクパスの値を JavaScript 番号に強制します。これにより、normalizeWindowsPath(entry.path).split('/') などのダウンストリームパス処理が行われ、捕捉されない TypeError をスローします。この問題はバージョン 7.5.18 で修正されています。(CVE-2026-59871)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.19より前のバージョンでは、node-tar は展開後のデータの合計数、エントリ数、または抽出パスや src/extract.ts などの展開比にハードな上限を強制しません。このため、細工された小さな gzip 爆弾がディスク容量と CPU を使い果たす可能性があります。
    この問題はバージョン 7.5.19 で修正されています。(CVE-2026-59873)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、tar.replace は、base-256 でエンコードされた負のエントリサイズのチェックサムが有効な tar ヘッダーを受け入れます。これにより、アーカイブスキャナーが同じヘッダーを繰り返し解析している間に何も進みません。この問題はバージョン 7.5.18 で修正されています。
    (CVE-2026-59874)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.17より前のバージョンでは、node-tar は src/pax.ts の PAX パスおよびリンクパスレコードから NULL バイトをストリップしないため、値付きの細工されたアーカイブが fs.lstat または fs.open に到達し、捕捉されない例外でプロセスを終了させる可能性があります。この問題はバージョン 7.5.17 で修正されています。(CVE-2026-59875)

    無制限のDNS名圧縮ポインターチェーンを介したCPU枯渇サービス拒否(CVE-2026-69184)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
348277	SUSE SLES15 セキュリティ更新 : nodejs18 (SUSE-SU-2026:4261-1)	Nessus	SuSE Local Security Checks	2026/9/19	2026/9/23	critical
347901	SUSE SLES12 セキュリティ更新 : nodejs18 (SUSE-SU-2026:4248-1)	Nessus	SuSE Local Security Checks	2026/9/18	2026/9/23	critical
337205	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
330709	Linux Distros のパッチ未適用の脆弱性: CVE-2026-16729	Nessus	Misc.	2026/7/29	2026/8/6	medium
337228	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/25	critical

検出

プラグインの検索

critical

critical

critical

medium

critical