AlmaLinux 9.6 [TuxCare] 安全更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / 等多个漏洞 （ALMALINUX9.6：CLSA-2026：1792760716）
high Nessus 插件 ID 371422
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1792760716公告中提及的多个漏洞的影响。- HTTP 代理连接重用Node.js缺陷可导致客户端将发送请求前发送的响应视为有效。这是不完整的 CVE-2026-48931. 当意外数据到达时破坏闲置的保持活动套接字的防护仅在事件循环轮询 I/O 时运行。
如果未经请求的响应已到达套接字，但在将套接字传递给新请求时尚未被读取（例如，因为事件循环正忙于同步工作），则在未看到防护的情况下将其删除，并将数据作为对新请求的响应进行解析。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-105481）
- DNS 解析Node.js缺陷允许 dns.resolve*（） 函数和 dns.reverse（） 静默截断包含 NUL 字节的主机名。这是不完整的补丁 CVE-2026-48930，仅涵盖 dns.lookup（） 和 net/tls 主机选项。由于名称是作为 C 字符串传递给 c-ares，因此解析 attacker.example\0.trusted.example 会查询 attacker.example 并返回其记录，而不会出现任何错误。验证主机名（例如针对域允许列表），然后使用 dns.resolve*（） 解析它的应用程序可以对与验证过的名称不同的记录进行操作。此漏洞影响 Node.js 26.x、 和 24.x22.x。（CVE-2026-105482）
- Node.js TLS 主机名验证中的一个缺陷可造成服务器证书使用与客户端连接的 IP 地址不同的 IP 地址进行验证，前提是该主机是带有前导零的非规范 IPv4 文本（如“0127.0.0.1）。 ”tls.checkServerIdentity（）“将主机规范化遵循 WHATWG URL 规则的主机，该规则将前导零八进制读取为八进制（”'“0127.0.0.1变为”87.0.0.1'），而连接是通过操作系统解析器建立，在某些平台（例如 macOS）上，该解析器会将其读取为十进制 （'127.0.0.1'）。然后，该连接地址的服务器可以使用为另一个 IP 地址颁发的证书进行认证。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。
(CVE-2026-106069)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.6：CLSA-2026：1792760716 中的指南更新受影响的程序包。另见
插件详情
严重性: High
ID: 371422
文件名: tuxcare_alma_linux_9.6_CLSA-2026-1792760716.nasl
版本: 1.1
类型: Local
发布时间: 2026/10/23
最近更新时间: 2026/10/23
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.52
Vendor
Vendor Severity: Low
CVSS v2
风险因素: High
基本分数: 7.1
时间分数: 5.3
矢量: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2026-106069
CVSS v3
风险因素: High
基本分数: 7.4
时间分数: 6.4
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
易利用性: No known exploits are available
补丁发布日期: 2026/10/23
漏洞发布日期: 2026/10/21
参考资料信息
CVE: CVE-2026-105481, CVE-2026-105482, CVE-2026-106069
CLSA: 2026:1792760716