Rocky Linux 9ホストには、CIQ crlsa-2026_35892 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * ip-address: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (CVE-2026-42338)

    * undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (CVE-2026-12151)。

    * undici: Undici: 不適切なキャッシュコントロールヘッダー解析による情報漏洩 (CVE-2026-9678)。

    * undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性。(CVE-2026-6733)

    * undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (CVE-2026-11525)

    * nodejs: Node.js: 無制限の HTTP/2 ORIGIN フレームによるサービス拒否 (CVE-2026-48619)

    * nodejs: Node.js: TLS 処理における embedded-nul ホスト名によるサイレントな権限再バインド (CVE-2026-48930)

    * nodejs: Node.js: 未承認のファイルメタデータ変更 (CVE-2026-48935)

    * nodejs: Node.js WebCrypto: subtle.encrypt() への大きな入力によるサービス拒否 (CVE-2026-48933)

    * nodejs: Node.js: TLS ホスト検証における証明書検証バイパス (CVE-2026-48934)

    * Node.js: Node.js: ホスト名照合の不一致による信頼ポリシーのバイパス (CVE-2026-48928)

    * nodejs: Node.js: プロキシトンネルエラー処理を介したプロキシ認証情報の情報漏洩 (CVE-2026-48615)

    * nodejs: Node.js: TLS ホスト名処理と Unicode ドットセパレーターの不一致による認証バイパス (CVE-2026-48618)

    バグ修正と拡張機能:

    * nodejs:22/nodejs: 最新の Node.js 22 リリース [rhel-9.8.z] へのリベース (JIRA:Rocky Linux-186622)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21058-1 アドバイザリで言及されています。

    この nodejs22 の更新では、以下の問題を修正します

    22.23.0 に更新:

    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21715: realpathSync.native での権限モデルバイパスにより、ファイルの存在が漏洩する可能性があります (bsc#1260482)。
    - CVE-2026-21716: promise ベースの FileHandle メソッドは、ファイルの権限および所有権を変更するために使用できます (bsc#1260462)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ ERR_PROXY_TUNNEL に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21236-1 アドバイザリで言及されています。

    この nodejs24 の更新では、以下の問題を修正します

    バージョン 24.18.0 (bsc#1269825) に更新してください：

    セキュリティの問題を修正:

    - CVE-2026-2581: undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
    - CVE-2026-6733: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9678: undici: 不適切な「キャッシュコントロール」ヘッダー解析による情報漏洩 (bsc#1268478).
    - CVE-2026-9679: undici: 「Set-Cookie」のパーセントデコードを介した HTTP ヘッダーインジェクション (bsc#1268477)。
    - CVE-2026-11525: undici:「Set-Cookie」ヘッダーの不適切な解析によるクッキーの「SameSite」ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ「ERR_PROXY_TUNNEL」に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する「ORIGIN」フレームによる「node:http2」クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930:「embedded-nul」ホスト名により、リゾルバーバインディングでの「c-string」切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931:「http.Agent」における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なる「サーバー名」でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935:「promise」API の「FileHandle.utimes()」を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

    その他の更新およびバグ修正:
    - バージョン 24.18.0:
      - doc:「blockList」の安定性ステータスをリリース候補に更新
      - fs: 呼び出し元指定の「readFile()」バッファをサポート
      - http:「closeIdleConnections」でプリリクエストソケットを閉じる
      - loader: パッケージマップを実装
      - net:「setKeepAlive」で「TCP_KEEPINTVL」および「TCP_KEEPCNT」をサポート
      - tls:「certificateCompression」オプションを追加
      - vfs:「node:fs/promises」をマウントされた VFS インスタンスにディスパッチ
      - vfs: 最小限の「node:vfs」サブシステムを追加
    - 旧バージョンの変更については、https://github.com/nodejs/node/releases を参照してください。
    - 利用できない場合は、「update-alternatives」をスクリプトレットから削除。
    - 明示的に「BuildRequire」「update-alternatives」をビルド要件として指定し、post/postun で使用されるものとしてマーク。
    - 「-fno-lifetime-dse」を「CXXFLAGS」に追加して、GCC 16 でのパラレル/テストスナップショット再現可能テストスイートの失敗を回避。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
358261	Rocky Linux 9 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2026_35892)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
324066	openSUSE 16 セキュリティ更新: nodejs22 (openSUSE-SU-2026:21058-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/10/13	high
326024	openSUSE 16 セキュリティ更新 : nodejs24 (openSUSE-SU-2026:21236-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/10/13	high

検出

プラグインの検索

medium

high

high