RHEL 8：nodejs:24 (RHSA-2026:92376)
critical Nessus 插件 ID 373945
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2026:92376 公告中提及的多个漏洞的影响。Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。
安全修复：
* ip-address： ip-address：通过未绑定的 IPv6 地址解析 （CVE-2026-101911） 造成拒绝服务
* brace-expansion： brace-expansion： 通过嵌套大括号模式中不受控制的递归造成拒绝服务 （CVE-2026-102278）
* brace-expansion： brace-expansion： 通过构建的大括号模式造成拒绝服务 （CVE-2026-102277）
* brace-expansion： brace-expansion： 通过构建的大括号模式 （CVE-2026-102276） 造成的堆栈耗尽导致拒绝服务
* brotli：Google Brotli 解码器中的越界写入 （CVE-2026-111497）
* nodejs： nodejs：通过全宽数字 IP 主机名 （CVE-2026-105483） 绕过 TLS 证书主机名
* nodejs： nodejs：通过非规范 IP 主机名 （CVE-2026-106069） 绕过 TLS 证书主机名
* nodejs：nodejs：dns.resolve 会截断包含空字符 （CVE-2026-105482） 的主机名
* nodejs： nodejs：通过快照熵缓存重用 （CVE-2026-106074） 预测的随机值
* nodejs： nodejs：通过通配符路径匹配缺陷 （CVE-2026-106071） 导致权限模型绕过
* nodejs： nodejs：通过不当的 HTTP keep-alive 连接重用导致响应去同步 （CVE-2026-105481）
* nodejs：Node.js：通过 fs.realpathSync（） （CVE-2026-106073） 绕过文件系统读取权限
* nodejs： nodejs：通过非规范 IPv4 主机名验证 （CVE-2026-106072） 进行身份验证绕过
错误修复和增强功能：
* nodejs:24/nodejs：衍合到最新的 Node.js 24 版本 [rhel-8]（JIRA：RHEL-289763）
有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://access.redhat.com/errata/RHSA-2026:92376
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2542596
https://bugzilla.redhat.com/show_bug.cgi?id=2542700
https://bugzilla.redhat.com/show_bug.cgi?id=2542706
https://bugzilla.redhat.com/show_bug.cgi?id=2542707
https://bugzilla.redhat.com/show_bug.cgi?id=2558973
https://bugzilla.redhat.com/show_bug.cgi?id=2559870
https://bugzilla.redhat.com/show_bug.cgi?id=2559873
https://bugzilla.redhat.com/show_bug.cgi?id=2559875
https://bugzilla.redhat.com/show_bug.cgi?id=2560016
https://bugzilla.redhat.com/show_bug.cgi?id=2560018
https://bugzilla.redhat.com/show_bug.cgi?id=2560019
https://bugzilla.redhat.com/show_bug.cgi?id=2560021
https://bugzilla.redhat.com/show_bug.cgi?id=2560022
插件详情
严重性: Critical
ID: 373945
文件名: redhat-RHSA-2026-92376.nasl
版本: 1.2
类型: Local
代理: unix
发布时间: 2026/10/30
最近更新时间: 2026/10/30
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.4
百分位: 99.83
Vendor
Vendor Severity: Important
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-111497
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:H/RL:O/RC:C
CVSS v4
风险因素: Critical
Base Score: 9.2
Threat Score: 9.2
Threat Vector: CVSS:4.0/E:A
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:rhel_eus:8.10, p-cpe:/a:redhat:enterprise_linux:nodejs-devel, p-cpe:/a:redhat:enterprise_linux:nodejs-docs, p-cpe:/a:redhat:enterprise_linux:nodejs-full-i18n, p-cpe:/a:redhat:enterprise_linux:nodejs-libs, p-cpe:/a:redhat:enterprise_linux:nodejs-nodemon, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging-bundler, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging, p-cpe:/a:redhat:enterprise_linux:nodejs, p-cpe:/a:redhat:enterprise_linux:npm, p-cpe:/a:redhat:enterprise_linux:v8-13.6-devel
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/10/29
漏洞发布日期: 2026/9/28
CISA 已知可遭利用的漏洞到期日期: 2026/11/10
参考资料信息
CVE: CVE-2026-101911, CVE-2026-102276, CVE-2026-102277, CVE-2026-102278, CVE-2026-105481, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-106071, CVE-2026-106072, CVE-2026-106073, CVE-2026-106074, CVE-2026-111497