Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jsdiff 是 JavaScript 文本差异实现。在低于版本 8.0.3、 5.2.2、 4.0.4和 3.5.1的情况下尝试解析其文件名标头包含换行符“\r”、“\u2028”或“\u2029”的修补程序可导致“parsePatch”方法进入无限循环。然后它会无限制地消耗内存直到进程因内存不足而崩溃。因此如果以用户提供的修补程序作为输入来调用“parsePatch”应用程序就可能容易遭受拒绝服务攻击。触发此漏洞不需要大负载因此对用户输入的大小限制不能提供任何保护。此外如果用户仍然能够控制文件名标头例如
    通过直接提供要比较的文件的文件名。当且仅当以修补程序的字符串表示形式作为参数调用时“applyPatch”方法受到类似影响因为在背后它使用“parsePatch”解析该字符串。库的其他方法不受影响。最后当修补程序的 *patch* 标头也称为其前导垃圾中存在这些相同的换行符时也会出现第二个较小的相互依存缺陷 - ReDOS。恶意构建的 *n* 长度的修补程序标头可解析“parsePatch”O(*n*) 时间。版本 8.0.3、 5.2.2、 4.0.4和 3.5.1 包含一个补丁。变通方案是不尝试解析包含任何这些字符的修补程序
    “\r”、“\u2028”或“\u2029”。 (CVE-2026-24001)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-24001

medium Nessus 插件 ID 296224

版本 1.5