リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4261-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-22150:undici:マルチパート/フォームデータリクエスト(bsc#1236258)の境界を定義する際に使用するランダム値が不十分です。
    - CVE-2025-23166:非同期暗号化操作でのエラー処理が不適切であると、プロセスがクラッシュします(bsc#1243218)。
    - CVE-2025-23167:llhttp:llhttp における不適切な HTTP ヘッダーブロック終端(bsc#1243220)。
    - CVE-2025-55131:タイムアウトベースの競合状態により、前の操作の残りデータを含む割り当てが可能になり、プロセスのシークレット(bsc#1256570)の漏洩につながります。
    - CVE-2025-59465:無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームは、処理されないエラーにより、クラッシュを引き起こす可能性があります(bsc#1256573)。
    - CVE-2025-59466:「async_hooks.createHook()」が有効な場合、捕捉できない「Maximum call stack size exceeded」エラーにより、クラッシュが発生する可能性があります(bsc#1256574)。
    - CVE-2025-62408:c-ares 1.32.3-1.34.5 free() 後の使用(bsc#1254738)。
    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-15157:HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません(bsc#1272958)。
    - CVE-2026-16728:undici:インターセプタ再試行によるダウンストリーム応答の非同期化(bsc#1273593)。
    - CVE-2026-16729:undici:undici の setCookie 関数は、クッキー属性を完全にサニタイズしません(bsc#1273591)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-22036:undici:Content-Encoding を介した HTTP 応答の無限展開チェーンが、リソース枯渇につながる可能性があります(bsc#1256848)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
    - CVE-2026-56846:HTTP/2 の保持ヘッダーが maxSessionMemory 制限をバイパスする可能性があります(bsc#1272941)。
    - CVE-2026-56848:HTTP/2 の再入式送信が heap-use-after-free(bsc#1272942)を引き起こす可能性があります。
    - CVE-2026-56850: HTTPS Agent は PFX 証明書間で mTLS アイデンティティを再利用できます (bsc#1272944)。
    - CVE-2026-58040:HTTPS エージェントセッションの再利用により、ホスト名の検証がスキップされる可能性があります(bsc#1272945)。
    - CVE-2026-58042:dns.resolveAny() は、多数の A レコードのある DNS 応答で中止する可能性があります(bsc#1272947)。
    - CVE-2026-58043:アクセス許可モデルのパスマッチングにより、ファイルシステムアクセスが過剰に付与される可能性があります(bsc#1272943)。
    - CVE-2026-58044:HTTP パーサーヘッダーの切り捨てにより、リクエストスマグリングが可能になる可能性があります(bsc#1272951)。
    - CVE-2026-58045:node:zlib 同期 API が、偽装された TypedArray の長さでクラッシュする可能性があります(bsc#1272948)。

    nodejs18 の変更:

    - Embedded undici を 6.28.0 にアップグレードしました。
    - 埋め込み nghttp2 を 1.69.0 にアップグレードしました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Node.js のバージョンは、22.23.0、24.17.0、または 26.3.1 より前のものです。したがって、2026 年 6 月 18 日木曜日のセキュリティリリースアドバイザリーのセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。(CVE-2026-48933)

  - Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。
    (CVE-2026-48618)

  - Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。(CVE-2026-48615)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-ce5dac2ed8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン24.18.0への更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
348277	SUSE SLES15 セキュリティ更新 : nodejs18 (SUSE-SU-2026:4261-1)	Nessus	SuSE Local Security Checks	2026/9/19	2026/9/23	critical
322793	Node.js 22.x < 22.23.0 / 24.x < 24.17.0 / 26.x < 26.3.1 複数の脆弱性 (2026 年 6 月 18 日木曜日のセキュリティリリース)。	Nessus	Misc.	2026/6/25	2026/10/9	critical
330821	Fedora 44 : nodejs24 (2026-ce5dac2ed8)	Nessus	Fedora Local Security Checks	2026/7/30	2026/7/30	medium

検出

プラグインの検索

critical

critical

medium