There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - pbkdf2 through 3.1.6 re-hashes passwords longer than the digest's block size on every iteration in its
    JavaScript fallback (lib/sync.js). A password longer than the block size (64 bytes, or 128 bytes for
    sha384 and sha512) is passed to HMAC as the key on every iteration, and HMAC hashes such keys in full each
    time. Cost is therefore O(iterations × password length), and a long password can block the event loop. The
    fallback is used by pbkdf2Sync and pbkdf2 on Node.js before 0.12, on Bun (1.0.0 through 1.1.34, and 1.2.6
    and later), and on Deno 2.9.0 and later, because their native pbkdf2Sync fails the library's feature
    check. It is also used when lib/sync.js is imported directly. Node.js 0.12 and later, and browser builds
    (which use lib/sync-browser.js), are not affected. Applications that enforce a reasonable maximum password
    length are not meaningfully affected. (CVE-2026-102414)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pbkdf2 在其 3.1.6 JavaScript 回退 （lib/sync.js） 中的每次迭代中，通过重新哈希长度超过摘要的区块大小的密码。长度超过区块大小（64 字节，sha384 和 sha512 为 128 字节）的密码在每次迭代时都会作为密钥传递给 HMAC，并且 HMAC 每次都对此类密钥进行完整哈希处理。因此，成本为 O（迭代密码长度），而长密码可以阻断事件循环。之前的 Node.js 0.12上、Bun（1.0.0 到 1.1.34和 1.2.6 之后）以及 Deno 2.9.0 和更高版本上的 pbkdf2Sync 和 pbkdf2 使用此回退，因为它们的本机 pbkdf2Sync 未通过库的功能检查。直接导入 lib/sync.js 时也可以使用此。Node.js 0.12 和更高版本以及浏览器版本（使用 lib/sync-browser.js）不受影响。强制设定合理最大密码长度的应用程序不会受到任何有意义的影响。（CVE-2026-102414）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - pbkdf2 在其 3.1.6 JavaScript 後援 （lib/sync.js） 的每次迭代中，重新雜湊比摘要區塊大小更長的密碼。每次反覆運算時，長於區塊大小 （64 位元組，或 sha384 和 sha512 為 128 位元組） 的密碼會作為金鑰傳遞給 HMAC，而 HMAC 每次都會完整雜湊此類金鑰。因此，成本為 O（反覆運算密碼長度），而長密碼可能會封鎖事件迴圈。pbkdf2Sync 和 pbkdf2 在之前 0.12的 Node.js 上 、 Bun 上 （1.0.0 通過 1.1.34和 1.2.6 之後） 以及 Deno 2.9.0 及更高版本上使用後援，因為它們的原生 pbkdf2Sync 未通過程式庫的功能檢查。直接匯入 lib/sync.js 時也會使用它。Node.js 0.12 及更新版本，以及瀏覽器組建 （使用 lib/sync-browser.js） 不受影響。強制執行合理密碼長度上限的應用程式不會受到有意義的影響。（CVE-2026-102414）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.1.6 までの pbkdf2 は、JavaScript フォールバック(lib/sync.js)で反復するたびに、ダイジェストのブロックサイズより長いパスワードを再ハッシュします。ブロックサイズより長いパスワード (64 バイト、sha384 と sha512 の場合は 128 バイト) が反復のたびにキーとして HMAC に渡され、HMAC はそのたびにそのようなキーを完全にハッシュ化します。したがって、コストはO(反復パスワード長)であり、長いパスワードはイベントループをブロックできます。フォールバックは、ネイティブの pbkdf2Sync がライブラリの機能チェックを失敗するため、 0.12 より前の Node.js、Bun(1.0.0 から 1.1.34、 1.2.6 以降)、Deno 2.9.0 以降の pbkdf2Sync と pbkdf2 により使用されます。lib/sync.js を直接インポートする場合にも使用されます。Node.js 0.12 以降、ブラウザビルド(lib/sync-browser.js を使用)は、影響を受けません。妥当な最大パスワード長を強制するアプリケーションは、重大な影響を受けません。(CVE-2026-102414)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - pbkdf2 through 3.1.6 re-hashes passwords longer than the digest's block size on every iteration in its     JavaScript fallback (lib/sync.js). A password longer than the block size (64 bytes, or 128 bytes for     sha384 and sha512) is passed to HMAC as the key on every iteration, and HMAC hashes such keys in full each     time. Cost is therefore O(iterations  password length), and a long password can block the event loop. The     fallback is used by pbkdf2Sync and pbkdf2 on Node.js before 0.12, on Bun (1.0.0 through 1.1.34, and 1.2.6     and later), and on Deno 2.9.0 and later, because their native pbkdf2Sync fails the library's feature     check. It is also used when lib/sync.js is imported directly. Node.js 0.12 and later, and browser builds     (which use lib/sync-browser.js), are not affected. Applications that enforce a reasonable maximum password     length are not meaningfully affected. (CVE-2026-102414)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
473459	SCA: security update for pbkdf2 (GHSA-477h-4r7f-fvrx)	Tenable Cloud Security	SCA Checks	2026/10/6	2026/10/6	medium
473459	SCA: security update for pbkdf2 (GHSA-477h-4r7f-fvrx)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/6	2026/10/6	medium
351350	Linux Distros 未修补的漏洞：CVE-2026-102414	Nessus	Misc.	2026/9/30	2026/10/5	medium
351350	Linux Distros 未修補弱點：CVE-2026-102414	Nessus	Misc.	2026/9/30	2026/10/5	medium
351350	Linux Distros のパッチ未適用の脆弱性: CVE-2026-102414	Nessus	Misc.	2026/9/30	2026/10/5	medium
351350	Linux Distros Unpatched Vulnerability : CVE-2026-102414	Nessus	Misc.	2026/9/30	2026/10/5	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium