AlmaLinux 9.6 [TuxCare] 安全性更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc多個弱點 （ALMALINUX9.6：CLSA-2026：1790253961）
critical Nessus Plugin ID 360090
語言:
概要
AlmaLinux 主機缺少一或多個安全性更新。說明
AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1790253961 公告中提及的多個弱點影響。- 大括號展開 5.0.6 容易受到拒絕服務的影響。expand（） 函式在連續非展開的「{}」大括號群組數目中表現出指數時間複雜度。攻擊者直接或轉移地將特製字串傳遞至 expand（），可造成大量 CPU 消耗和事件迴圈封鎖。max 選項不會緩解此問題，因為它會限制輸出大小，而不是遞迴工作。（CVE-2026-13149）
- 大括號擴充 5.0.7 容易因記憶體耗盡而遭受拒絕服務。expand（） 函式會使用 max 選項 （預設值 100,000） 限制結果數目，但不會限制每個結果字串的長度。藉由鏈結多個大括號群組，攻擊者可將結果計數保持在限制之下，同時使每個結果逐漸變長，因此總記憶體會隨著計數和字串長度而調整，直到處理程序遇到致命的、無法擷取的記憶體不足錯誤為止。大約 7.5 KB 的輸入 （'{a，b}'.repeat（1500）） 使預設Node.js處理程序當機。任何將受攻擊者影響的字串傳遞至 brace-expansion.expand（） 的應用程式 （直接或透過小型比對/大括號模式轉移） 都可能因小請求而當機。透過 5.0.8 新增 maxLength 選項 （預設為 4,000,000） 來固定累積輸出和中間陣列。（CVE-2026-14257）
- node-tar 是用於 Node.js 的 tar 封存操作程式庫。在之前 7.5.19，node-tar 不會在擷取和剖析路徑 （例如 src/extract.ts） 中對解壓縮資料總數、條目計數或解壓縮比率強制執行硬性上限，因此允許小型特製的 gzip 炸彈耗盡磁碟空間和 CPU。
7.5.19 版已修正此問題。(CVE-2026-59873)
- node-tar 是用於 Node.js 的 tar 封存操作程式庫。在之前 7.5.18，tar.replace 接受具有負 base-256 編碼項目大小的總和檢查碼有效 tar 標頭，導致封存掃描器在重複剖析相同標頭時沒有任何進展。7.5.18 版已修正此問題。
(CVE-2026-59874)
- brace-expansion 程式庫會產生包含通用字首和字尾的任意字串。在 、 、 3.0.6和 5.0.9之前2.1.4，1.1.18expand（） 在建構逗號替代中間陣列或填充序列時不套用 maxLength，允許攻擊者控制的輸入耗盡記憶體或封鎖事件迴圈。弱點會繞過 的 CVE-2026-14257 修正。此問題已在 1.1.18、2.1.4、3.0.6 和 5.0.9 版中修正。(CVE-2026-69152)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.6：CLSA-2026：1790253961 中的指引更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 360090
檔案名稱: tuxcare_alma_linux_9.6_CLSA-2026-1790253961.nasl
版本: 1.1
類型: Local
已發布: 2026/10/1
已更新: 2026/10/1
支援的感應器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5
百分位數: 93.18
Vendor
Vendor Severity: Important
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 6.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2026-59874
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
風險因素: Critical
Base Score: 9.2
Threat Score: 8.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
CVSS 評分資料來源: CVE-2026-59873
弱點資訊
必要的 KB 項目: Host/OS/extended-third-party, Host/local_checks_enabled, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/9/24
弱點發布日期: 2026/6/30
參考資訊
CVE: CVE-2026-13149, CVE-2026-14257, CVE-2026-59873, CVE-2026-59874, CVE-2026-69152
CLSA: 2026:1790253961