したがって、ALAS2023-2026-1484 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

     1.1.11/2.0.1/3.0.0/4.0.0までの juliangruber brace-expansion に脆弱性が見つかりました。問題があると分類されました。ファイル index.js の関数 expand はこの問題の影響を受けます。この操作により、正規表現が非効率的に複雑になります。攻撃がリモートで起動される可能性があります。攻撃の複雑性はかなり高いものです。この脆弱性の悪用は困難であることが知られています。このエクスプロイトは一般に公開されており、使用される可能性があります。バージョン 1.1.12、 2.0.2、 3.0.1 、 4.0.1 にアップグレードすると、この問題に対処できます。
    パッチの名前は、a5b98a4f30d7813266b221435e1eaaf25a1b0ac5 です。影響を受けるコンポーネントをアップグレードすることが推奨されます。(CVE-2025-5889)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.10より前では、C:../target.txt などのドライブ関連のリンクターゲットを使用することで、tar が騙されて、抽出ディレクトリの外部を指し示すハードリンクを作成する可能性があります。これにより、通常の tar.x 中に cwd 外でファイルの上書きが可能になります抽出に関連するベクトルを通じて、可用性に影響を与えることが可能です。この問題には、バージョン 7.5.10 でパッチが適用されています。(CVE-2026-29786)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4552アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリー DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel ライダート 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : node-tar バージョン : 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID : CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tarという、ポータブルtarアーカイブの読み書きを行うNode.jsモジュールで複数の脆弱性が発見されています。

    CVE-2024-28863

       多数のサブフォルダを生成すると、システムのメモリを消費し、サブフォルダが多すぎるパスを使うと数秒以内にNode.jsクライアントがクラッシュすることもあります。

    CVE-2026-23745

       preservePathsがfalseの場合、Link(ハードリンク)およびSymbolicLinkエントリのリンクパスがサニティ化されず、悪意のあるアーカイブが抽出の根の制限を回避し、ハードリンクによる任意のファイル上書きや絶対シンムリンクターゲットによるシンムリンク中毒を引き起こします。

       この問題の修正により、以下の複数の脆弱性が導入されます。

    CVE-2026-24842

       ハードリンクエントリのセキュリティチェックにより、攻撃者はパストラバーサル保護を回避し、抽出ディレクトリ外の任意のファイルへのハードリンクを作成する悪意のあるTARアーカイブを作成できます。

    CVE-2026-26960

       攻撃者が制御するアーカイブは、抽出ディレクトリ内にハードリンクを作成し、抽出ルート外のファイルを参照することで、抽出ユーザーとして任意のファイルの読み書きを可能にします。

    CVE-2026-29786

       攻撃者が制御するアーカイブは、ドライブ相対リンクターゲットを用いて抽出ディレクトリの外側を指すハードリンクを作成できます。

    CVE-2026-31802

       攻撃者が制御するアーカイブは、ドライブ相対リンクターゲットを用いて抽出ディレクトリの外側を指すハードリンクを作成できます。


    Debian 11のブルズアイでは、これらの問題はバージョン 6.0.5+ds1+~cs11.3.9-1+deb11u3で修正されています。

    Node-tarパッケージのアップグレードを推奨します。

    node-tarの詳細なセキュリティ状況については、以下のセキュリティトラッカーページをご覧ください:
    https://security-tracker.debian.org/tracker/node-tar

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dla-4712アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4712-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年8月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:node-tar バージョン: 6.1.13+~cs7.0.5-1+deb12u1 CVE ID: CVE-2024-28863 CVE-2026-23745 CVE-2026-26960 CVE-2026-29786

    ポータブル tar アーカイブを読み書きするためのNode.jsモジュールである node-tar で、複数の脆弱性が発見されています。

    CVE-2024-28863

       多数のサブフォルダーを生成すると、システムのメモリが消費され、内部に多すぎるサブフォルダーがあるパスを使用することで、数秒のうちに Node.js クライアントがクラッシュすることすらあります。

    CVE-2026-23745

       preservePaths が false の場合、Link(ハードリンク)および SymbolicLink エントリのリンクパスがサニタイズされず、悪意のあるアーカイブが抽出ルート制限をバイパスして、ハードリンクによる任意のファイルの上書き、絶対シンボリックリンクターゲットによるシンボリックリンクポイズニングを引き起こす可能性があります。

       この問題の修正は、 CVE-2026-24842 と CVE-2026-31802を導入します。
       その後、どちらも修正されました。


    CVE-2026-26960

       攻撃者がコントロールするアーカイブは、抽出ディレクトリ内に、抽出ルートの外のファイルを指すハードリンクを作成し、抽出するユーザーとして任意のファイルの読み取りと書き込みを行えるようになります。

    CVE-2026-29786

       攻撃者が制御するアーカイブが、ドライブ相対リンクターゲットを使用することで、抽出ディレクトリの外側を指すハードリンクを作成する可能性があります。

    Debian 12 bookworm では、これらの問題はバージョン 6.1.13+~cs7.0.5-1+deb12u1 で修正されています。

    node-tar パッケージをアップグレードすることを推奨します。

    node-tar の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/node-tar

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1578 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Node.js HTTPリクエスト処理の欠陥により、リクエストが__proto__という名前のヘッダーで受信され、アプリケーションがreq.headersDistinctにアクセスするとき、捕捉されなかったTypeErrorを引き起こします。

    これが発生すると、dest[__proto__] は未定義ではなく Object.prototype に解決されるため、配列以外で .push() が呼び出されます。この例外は、プロパティ getter の内部で同期的にスローされ、エラーイベントリスナーによって傍受できません。つまり、try/catch の req.headersDistinct アクセスをすべてラップしないと処理できません。

    この脆弱性は 20.x、、、、、、および 24.xv25.x上のすべての Node.js HTTP サーバーに影響を与えます 22.x。

    注意: https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#denial-of-service-via-__proto__-header-name-in-reqheadersdistinct-uncaught-typeerror-crashes-nodejs-process-cve-2026-21710---high (CVE-2026-21710)

    Node.js の URL 処理に欠陥があるため、無効な文字が含まれる無効な形式の国際化ドメイン名IDNで url.format() が呼び出された場合に、ネイティブコードでアサーションの失敗を引き起こし、Node.js プロセスをクラッシュします。

    この脆弱性は 24.x および 25.xに影響を与えます。

    注意: https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#assertion-error-in-node_urlcc-via-malformed-url-format-leads-to-nodejs-crash-cve-2026-21712---medium (CVE-2026-21712)

    Node.js HMAC検証の欠陥により、ユーザー指定の署名を検証するときに一定でない時間比較が使用され、一致するバイト数に等しくタイミング情報が漏えいする可能性があります。高分解能のタイミング測定が可能な特定の脅威モデルでは、この動作がタイミングオラクルとして悪用され、HMAC 値を推測する可能性があります。

    Node.js は、コードベースの別の場所で使用されるタイミングセーフな比較プリミティブをすでに提供しています。これは、意図的な設計上の決定ではなく漏洩であることを示しています。

    この脆弱性 22.xは 20.x、、、、、、に影響 24.xを与えます 25.x。

    注 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#timing-side-channel-in-hmac-verification-via-memcmp-in-crypto_hmaccc-leads-to-potential-mac-forgery-cve-2026-21713---mediumCVE-2026-21713]

    クライアントが WINDOW_UPDATE フレームをストリーム 0接続レベルで送信する際に、Node.js HTTP/2 サーバーでメモリリークが発生します。これにより、フロー制御ウィンドウが の最大値を超えます 231-1。サーバーは GOAWAY フレームを正しく送信しますが、Http2Session オブジェクトは決してクリーンアップされません。

    この脆弱性は、Node.js 20、22、24、25のHTTP2ユーザーに影響を与えます。

    注 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#memory-leak-in-nodejs-http2-server-via-window_update-on-stream-0-leads-to-resource-exhaustion-cve-2026-21714---mediumCVE-2026-21714]

    Node.js Permission Model ファイルシステムの強制の欠陥により、必要な読み取り権限チェックなしで fs.realpathSync.native() が放置されますが、同等のファイルシステム関数はすべて、これらの権限を正しく強制しています。その結果、 --allow-fs-read 制限付きで実行されるコードは、引き続き --permission fs.realpathSync.native () を使用して、ファイルの存在を確認し、シンボリックリンクターゲットを解決し、許可されたディレクトリ外のファイルシステムパスを列挙できます。この脆弱性は 20.x、 、 22.x、 に影響します。 24.x、、 25.x は、 --allow-fs-read が意図的に制限されている権限モデルを使用して処理します。

    注意: https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#permission-model-bypass-in-realpathsyncnative-allows-file-existence-disclosure-cve-2026-21715---low (CVE-2026-21715)

     CVE-2024-36137 に対する不完全な修正により、コールバックベースの同等プログラムfs.fchmod()、fs.fchown()へのパッチが適切に適用されるのに対し、必要な権限チェックが行われずに、確認 API の FileHandle.chmod() と FileHandle.chown() が放置されます。 。

    その結果、 --permission で --allow-fs-write の下で実行されるコードは、引き続きプロミスベースの FileHandle メソッドを使用して、すでにオープンしているファイル記述子のファイル権限と所有権を変更し、意図された書き込み制限をバイパスできます。

    この脆弱性は、 --allow-fs-write が意図的に制限されている、パーミッションモデルを使用する 20.x、 22.x、 24.x、 25.x のプロセスに影響を与えます。

    注 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#cve-2024-36137-patch-bypass---filehandlechmodchown-cve-2026-21716---lowCVE-2026-21716]

    V8 の文字列ハッシュメカニズムの欠陥により、整数のような文字列が数値に対してハッシュされ、ハッシュ衝突が簡単に予測できるようになります。V8の内部文字列テーブルでそのような多数の衝突を引き起こすリクエストを作成することで、攻撃者はNode.jsプロセスのパフォーマンスを大幅に低下させる可能性があります。

    JSON 解析は短い文字列を影響を受けるハッシュテーブルに自動的に内部化するため、最も一般的なトリガーは、攻撃者が制御する入力で JSON.parse() を呼び出すエンドポイントです。

    この脆弱性 22.xは 20.x、、、、、、に影響 24.xを与えます 25.x。

    注意: https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#hashdos-in-v8-cve-2026-21717---medium (CVE-2026-21717)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されているAtlassian Jira Service Management Data Center and Server(Jira Service Desk)のバージョンは、JSDSERVER-16578のアドバイザリに記載されている脆弱性の影響を受けます。

  - このファイルインクルージョンの脆弱性により、認証されていない攻撃者がアプリケーションにローカルファイルの内容を表示させるか、サーバーにすでにローカルに保存されている別のファイルを実行する可能性があります。これは、機密性、整合性、可用性に大きな影響を与えず、ユーザー操作を必要とします。(CVE-2026-26960)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1483 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.10より前では、C:../target.txt などのドライブ関連のリンクターゲットを使用することで、tar が騙されて、抽出ディレクトリの外部を指し示すハードリンクを作成する可能性があります。これにより、通常の tar.x 中に cwd 外でファイルの上書きが可能になります抽出に関連するベクトルを通じて、可用性に影響を与えることが可能です。この問題には、バージョン 7.5.10 でパッチが適用されています。(CVE-2026-29786)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
304285	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
310898	Debian dla-4552 : node-tar - セキュリティアップデート	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
331606	Debian DLA-4712:node-tar - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/2	2026/8/2	high
306235	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1578)	Nessus	Amazon Linux Local Security Checks	2026/4/13	2026/4/13	high
317405	Atlassian Jira Service Management Data Center and Server 5.15.2 < 10.3.18 / 10.4.0 < 11.3.5 (JSDSERVER-16578)	Nessus	Misc.	2026/5/28	2026/6/1	high
304295	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
299677	Linux Distros のパッチ未適用の脆弱性: CVE-2026-26960	Nessus	Misc.	2026/2/20	2026/11/6	high

検出

プラグインの検索

high

high

high

high

high

high

high