Linux Distros 未修補的弱點:CVE-2026-33671

high Nessus Plugin ID 303991

概要

Linux/Unix 主機上安裝的一個或多個套件存有弱點,供應商表示將不會修補。

說明

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件,且供應商未提供可用的修補程式。

- Picomatch 是寫入 JavaScript 的 glob 比對器。 4.0.4、 3.0.2和 2.3.2 之前的版本在處理特製的 extglob 模式時容易受到規則運算式拒絕服務 (ReDoS) 影響。使用 extglob 數量詞 (如 `+()` 和 `*()`) 的特定模式會編譯成規則運算式在不相符的輸入上可能會發生災難性回溯作業 (與重疊替代項目或巢狀 extglob 結合時)。當應用程式允許未受信任的使用者提供傳遞至「picomatch」進行編譯或比對的 glob 模式時應用程式會受到影響。在這些情況下攻擊者可造成 CPU 過度消耗並封鎖 Node.js 事件迴圈進而導致拒絕服務。僅使用受信任且由開發人員控制的 glob 模式的應用程式不太可能以安全性相關方式洩漏。
此問題已在 picomatch 4.0.4、 3.0.2 和 2.3.2中修正。使用者應升級至這些版本之一或更新版本視受支援的版本而定。如果無法立即升級請避免將不受信任的 glob 模式傳遞至 `picomatch`。可能的緩解措施包括使用「noextglob: true」停用不受信任模式的 extglob 支援拒絕或清理含有巢狀 extglob 或 extglob 限定詞 (例如「+()」和「*()」) 的模式對接受的模式語法強制執行嚴格的允許清單、執行在具有時間和資源限制的隔離背景工作或獨立處理程序中進行比對,並對接受 glob 模式的任何端點套用應用程式層級要求節流和輸入驗證。
(CVE-2026-33671)

請注意,Nessus 依賴供應商報告的套件存在。

解決方案

目前尚未有已知的解決方案。

另請參閱

https://access.redhat.com/security/cve/cve-2026-33671

https://security-tracker.debian.org/tracker/CVE-2026-33671

https://ubuntu.com/security/CVE-2026-33671

Plugin 詳細資訊

嚴重性: High

ID: 303991

檔案名稱: unpatched_CVE_2026_33671.nasl

版本: 1.4

類型: Local

代理程式: unix

系列: Misc.

已發布: 2026/3/27

已更新: 2026/4/1

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 5

時間性分數: 4.3

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

CVSS 評分資料來源: CVE-2026-33671

CVSS v3

風險因素: High

基本分數: 7.5

時間性分數: 6.9

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

時間媒介: CVSS:3.0/E:U/RL:U/RC:C

弱點資訊

CPE: cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:centos:centos:nodejs24-devel, p-cpe:/a:centos:centos:grafana-postgres, p-cpe:/a:centos:centos:grafana, p-cpe:/a:redhat:enterprise_linux:rustfmt, p-cpe:/a:redhat:enterprise_linux:grafana-stackdriver, p-cpe:/a:centos:centos:tdx-qgs, p-cpe:/a:redhat:enterprise_linux:grafana-azure-monitor, p-cpe:/a:centos:centos:rust-debugger-common, p-cpe:/a:redhat:enterprise_linux:sgx-mpa, p-cpe:/a:centos:centos:grafana-cloudwatch, p-cpe:/a:redhat:enterprise_linux:nodejs24, p-cpe:/a:redhat:enterprise_linux:nodejs22, p-cpe:/a:redhat:enterprise_linux:grafana-opentsdb, p-cpe:/a:redhat:enterprise_linux:grafana-elasticsearch, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:centos:centos:grafana-loki, p-cpe:/a:centos:centos:v8-12.4-devel, p-cpe:/a:redhat:enterprise_linux:v8-13.6-devel, p-cpe:/a:centos:centos:grafana-mysql, p-cpe:/a:centos:centos:rust-src, p-cpe:/a:centos:centos:rust-std-static-aarch64-unknown-none-softfloat, cpe:/o:redhat:enterprise_linux:8, cpe:/o:debian:debian_linux:13.0, p-cpe:/a:centos:centos:rust-analyzer, p-cpe:/a:redhat:enterprise_linux:grafana-loki, p-cpe:/a:redhat:enterprise_linux:nodejs24-docs, p-cpe:/a:redhat:enterprise_linux:v8-12.4-devel, p-cpe:/a:redhat:enterprise_linux:rust-std-static-aarch64-unknown-none-softfloat, p-cpe:/a:redhat:enterprise_linux:nodejs-nodemon, p-cpe:/a:redhat:enterprise_linux:nodejs-docs, p-cpe:/a:redhat:enterprise_linux:nodejs-libs, p-cpe:/a:redhat:enterprise_linux:rust-std-static-wasm32-unknown-unknown, p-cpe:/a:centos:centos:nodejs24-docs, p-cpe:/a:centos:centos:nodejs24-libs, p-cpe:/a:redhat:enterprise_linux:rust-debugger-common, p-cpe:/a:centos:centos:nodejs-libs, p-cpe:/a:redhat:enterprise_linux:pcs-snmp, p-cpe:/a:centos:centos:rust-gdb, p-cpe:/a:centos:centos:nodejs-devel, p-cpe:/a:redhat:enterprise_linux:rust-std-static, p-cpe:/a:centos:centos:nodejs24, p-cpe:/a:redhat:enterprise_linux:nodejs-full-i18n, p-cpe:/a:centos:centos:rust-toolset, p-cpe:/a:centos:centos:rust, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:redhat:enterprise_linux:sgx-pckid-tool, p-cpe:/a:centos:centos:nodejs-full-i18n, p-cpe:/a:centos:centos:nodejs-npm, cpe:/o:centos:centos:8, p-cpe:/a:centos:centos:grafana-selinux, p-cpe:/a:centos:centos:rust-std-static, p-cpe:/a:redhat:enterprise_linux:sgx-libs, p-cpe:/a:redhat:enterprise_linux:grafana-selinux, p-cpe:/a:redhat:enterprise_linux:nodejs24-npm, p-cpe:/a:debian:debian_linux:node-anymatch, p-cpe:/a:redhat:enterprise_linux:sgx-common, p-cpe:/a:redhat:enterprise_linux:grafana-graphite, p-cpe:/a:centos:centos:nodejs24-full-i18n, p-cpe:/a:centos:centos:sgx-common, p-cpe:/a:redhat:enterprise_linux:grafana-mysql, p-cpe:/a:centos:centos:rust-lldb, p-cpe:/a:centos:centos:nodejs24-npm, p-cpe:/a:redhat:enterprise_linux:rust-doc, p-cpe:/a:centos:centos:nodejs-nodemon, p-cpe:/a:centos:centos:rust-std-static-wasm32-wasi, p-cpe:/a:redhat:enterprise_linux:nodejs, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:centos:centos:rustfmt, p-cpe:/a:redhat:enterprise_linux:rust-analysis, p-cpe:/a:centos:centos:sgx-libs, p-cpe:/a:redhat:enterprise_linux:tdx-qgs, p-cpe:/a:redhat:enterprise_linux:rust-src, p-cpe:/a:redhat:enterprise_linux:rust-analyzer, p-cpe:/a:centos:centos:grafana-prometheus, p-cpe:/a:redhat:enterprise_linux:pcs, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging-bundler, p-cpe:/a:redhat:enterprise_linux:cargo, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:centos:centos:grafana-influxdb, p-cpe:/a:centos:centos:cargo, p-cpe:/a:centos:centos:v8-13.6-devel, p-cpe:/a:centos:centos:rust-doc, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging, p-cpe:/a:redhat:enterprise_linux:rust-gdb, p-cpe:/a:redhat:enterprise_linux:rust-lldb, p-cpe:/a:centos:centos:clippy, p-cpe:/a:redhat:enterprise_linux:grafana-mssql, p-cpe:/a:centos:centos:nodejs-packaging-bundler, cpe:/o:redhat:enterprise_linux:10, p-cpe:/a:centos:centos:rust-toolset-srpm-macros, p-cpe:/a:redhat:enterprise_linux:grafana, p-cpe:/a:redhat:enterprise_linux:rust-toolset-srpm-macros, p-cpe:/a:redhat:enterprise_linux:rust, p-cpe:/a:centos:centos:grafana-stackdriver, p-cpe:/a:redhat:enterprise_linux:nodejs24-libs, p-cpe:/a:redhat:enterprise_linux:nodejs-devel, p-cpe:/a:redhat:enterprise_linux:grafana-influxdb, p-cpe:/a:redhat:enterprise_linux:clippy, p-cpe:/a:centos:centos:grafana-elasticsearch, p-cpe:/a:centos:centos:nodejs-docs, p-cpe:/a:centos:centos:grafana-azure-monitor, p-cpe:/a:centos:centos:rust-std-static-wasm32-unknown-unknown, p-cpe:/a:centos:centos:grafana-opentsdb, p-cpe:/a:redhat:enterprise_linux:rust-std-static-wasm32-wasip1, p-cpe:/a:centos:centos:sgx-mpa, p-cpe:/a:redhat:enterprise_linux:nodejs24-full-i18n, p-cpe:/a:redhat:enterprise_linux:grafana-postgres, p-cpe:/a:centos:centos:grafana-graphite, p-cpe:/a:redhat:enterprise_linux:nodejs24-devel, p-cpe:/a:centos:centos:rust-std-static-x86_64-unknown-none, p-cpe:/a:centos:centos:nodejs, p-cpe:/a:redhat:enterprise_linux:grafana-prometheus, p-cpe:/a:redhat:enterprise_linux:rust-toolset, p-cpe:/a:centos:centos:npm, p-cpe:/a:redhat:enterprise_linux:nodejs-npm, p-cpe:/a:centos:centos:rust-analysis, p-cpe:/a:centos:centos:nodejs-packaging, p-cpe:/a:redhat:enterprise_linux:rust-std-static-wasm32-wasi, p-cpe:/a:centos:centos:rust-std-static-wasm32-wasip1, p-cpe:/a:centos:centos:pcs, p-cpe:/a:centos:centos:pcs-snmp, p-cpe:/a:centos:centos:nodejs22, p-cpe:/a:redhat:enterprise_linux:grafana-cloudwatch, p-cpe:/a:redhat:enterprise_linux:npm, p-cpe:/a:centos:centos:sgx-pckid-tool, p-cpe:/a:canonical:ubuntu_linux:node-anymatch, p-cpe:/a:centos:centos:grafana-mssql, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:redhat:enterprise_linux:rust-std-static-x86_64-unknown-none, cpe:/o:canonical:ubuntu_linux:20.04:-:lts

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier

可輕鬆利用: No known exploits are available

弱點發布日期: 2026/3/25

參考資訊

CVE: CVE-2026-33671