Rocky Linux 8 [CIQ] 安全更新：nodejs-nodemon / nodejs-packaging / nodejs-packaging-bundler 多个漏洞 （crlsa-2026_92376）
critical Nessus 插件 ID 374065
语言：
简介
Rocky Linux 主机缺少一个或多个安全更新。描述
Rocky Linux 8 主机上安装的多个程序包受到 CIQ crlsa-2026_92376 公告中提及的多个漏洞影响。* ip-address： ip-address：通过未绑定的 IPv6 地址解析 （CVE-2026-101911） 造成拒绝服务
* brace-expansion： brace-expansion： 通过嵌套大括号模式中不受控制的递归造成拒绝服务 （CVE-2026-102278）
* brace-expansion： brace-expansion： 通过构建的大括号模式造成拒绝服务 （CVE-2026-102277）
* brace-expansion： brace-expansion： 通过构建的大括号模式 （CVE-2026-102276） 造成的堆栈耗尽导致拒绝服务
* brotli：Google Brotli 解码器中的越界写入 （CVE-2026-111497）
* nodejs： nodejs：通过全宽数字 IP 主机名 （CVE-2026-105483） 绕过 TLS 证书主机名
* nodejs： nodejs：通过非规范 IP 主机名 （CVE-2026-106069） 绕过 TLS 证书主机名
* nodejs：nodejs：dns.resolve 会截断包含空字符 （CVE-2026-105482） 的主机名
* nodejs： nodejs：通过快照熵缓存重用 （CVE-2026-106074） 预测的随机值
* nodejs： nodejs：通过通配符路径匹配缺陷 （CVE-2026-106071） 导致权限模型绕过
* nodejs： nodejs：通过不当的 HTTP keep-alive 连接重用导致响应去同步 （CVE-2026-105481）
* nodejs：Node.js：通过 fs.realpathSync（） （CVE-2026-106073） 绕过文件系统读取权限
* nodejs： nodejs：通过非规范 IPv4 主机名验证 （CVE-2026-106072） 进行身份验证绕过
错误修复和增强功能：
* nodejs：24/nodejs：衍合到最新的 Node.js 24 版本 [rhel-8] （JIRA：Rocky Linux-289763）
Tenable 已直接从 CIQ 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 CIQ 公告 crlsa-2026_92376 中的指导更新受影响的软件包。另见
https://access.redhat.com/errata/RHSA-2026:92376
https://bugzilla.redhat.com/show_bug.cgi?id=2542596
https://bugzilla.redhat.com/show_bug.cgi?id=2542700
https://bugzilla.redhat.com/show_bug.cgi?id=2542706
https://bugzilla.redhat.com/show_bug.cgi?id=2542707
https://bugzilla.redhat.com/show_bug.cgi?id=2558973
https://bugzilla.redhat.com/show_bug.cgi?id=2559870
https://bugzilla.redhat.com/show_bug.cgi?id=2559873
https://bugzilla.redhat.com/show_bug.cgi?id=2559875
https://bugzilla.redhat.com/show_bug.cgi?id=2560016
https://bugzilla.redhat.com/show_bug.cgi?id=2560018
https://bugzilla.redhat.com/show_bug.cgi?id=2560019
https://bugzilla.redhat.com/show_bug.cgi?id=2560021
https://bugzilla.redhat.com/show_bug.cgi?id=2560022
https://errata.build.resf.org/RLSA-2026:92376
插件详情
严重性: Critical
ID: 374065
文件名: ciq_rocky_linux_8_crlsa-2026_92376.nasl
版本: 1.2
类型: Local
发布时间: 2026/10/30
最近更新时间: 2026/10/30
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.4
百分位: 99.83
Vendor
Vendor Severity: Unknown
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-111497
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:H/RL:O/RC:C
CVSS v4
风险因素: Critical
Base Score: 9.2
Threat Score: 9.2
Threat Vector: CVSS:4.0/E:A
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/RockyLinux/release, Host/RockyLinux/rpm-list, Host/OS/extended-third-party
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/10/30
漏洞发布日期: 2026/9/28
CISA 已知可遭利用的漏洞到期日期: 2026/11/10
参考资料信息
CVE: CVE-2026-101911, CVE-2026-102276, CVE-2026-102277, CVE-2026-102278, CVE-2026-105481, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-106071, CVE-2026-106072, CVE-2026-106073, CVE-2026-106074, CVE-2026-111497
IAVA: 2026-A-1200