リモートの Fedora 40 ホストには、FEDORA-2025-cc8f9d8943 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 18.20.6 に更新してください (rhbz#2341760) (rhbz#2340936) (rhbz#2300997)

    CVE-2025-23084を解決します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 40 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-cc8f9d8943 advisory.

    Update to version 18.20.6 (rhbz#2341760) (rhbz#2340936) (rhbz#2300997)

    Resolves CVE-2025-23084

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Node.js のバージョンは、18.20.6、20.18.2、22.13.1、23.6.1 より前のものです。したがって、2025 年 1 月 21 日火曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js で、特に Windows 環境のドライブ名の処理に影響を与える脆弱性が見つかりました。Node.js の特定の関数は、Windows でドライブ名を特別なものとして扱いません。この結果、Node.js は相対パスを前提としていますが、実際にはルートディレクトリが参照されます。Windows では、ファイルセパレーターで始まらないパスが、現在のディレクトリに関連するものとして扱われます。この脆弱性は、path.join API の Windows ユーザーに影響を与えます。影響: この脆弱性を報告してくださった taise 氏と、修正してくださった tniessen 氏に感謝の意を表します。(CVE-2025-23084)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Java のバージョンは、2025 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JavaFX (gstreamer))。影響を受けるサポートされたバージョンは、8u441、8u441-perf、Oracle GraalVM Enterprise Edition: 20.3.17 および 21.3.13 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の乗っ取りが発生する可能性があります。(CVE-2024-47606)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JavaFX (WebKitGTK))。影響を受けるサポートされたバージョンは、8u441、Oracle GraalVM Enterprise Edition: 20.3.17 および 21.3.13 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM Enterprise Edition の乗っ取りが発生する可能性があります。(CVE-2024-54534)

  - Oracle Java SE の Oracle GraalVM for JDK 製品の脆弱性 (コンポーネント: Node (Node.js))。影響を受けるサポートされたバージョンは Oracle GraalVM for JDK: 17.0.14、21.0.6 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が Oracle GraalVM for JDK を実行しているインフラストラクチャにログオンし、Oracle GraalVM for JDK を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle GraalVM for JDK がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle GraalVM for JDK がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。(CVE-2025-23083)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.9。因此，该应用程序受到 TNS-2025-01 公告中提及的多个漏洞影响，其中包括：

  - 在完成线程名称解析之后断开连接通道时，libcurl 会两次错误地关闭相同的 eventfd 文件描述符。(CVE-2025-0665)

  - 借助 diagnostics_channel 实用工具，无论何时创建工作线程，均可将事件挂钩。此问题不仅会影响工作线程，而且会暴露内部工作线程，在这种情况下，攻击者可以获取其中的一个工作线程，并抓取和恢复其构造函数以进行恶意利用。此漏洞会影响 Node.js v20、v22 和 v23 上的权限模型用户 (--permission)。(CVE-2025-23083)

  - 当要求 libcurl 对使用 CURLOPT_ACCEPT_ENCODING 选项的内容编码的 HTTP 响应执行自动 gzip 解压缩时，**使用 zlib 1.2.0.3 或更早版本**，由攻击者控制的整数溢出漏洞会使 libcurl 执行缓冲区溢出。(CVE-2025-0725)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根據應用程式自我報告的版本號碼，遠端主機上執行的 Tenable Identity Exposure 低於 3.77.9 版。因此，該主機會受到 TNS-2025-01 公告中提及的多個弱點影響，包括：

  - 若在完成執行緒名稱解析後中斷連線通道，libcurl 會兩次錯誤地關閉相同的 eventfd 檔案描述元。(CVE-2025-0665)

  - 在 diagnostics_channel 公用程式的協助下，每當建立背景工作執行緒時，即可勾結事件。這不僅限於背景工作，也會暴露內部背景工作，此時程式可能會擷取其執行個體，且可抓取並還原其建構函式以供惡意使用。此弱點會影響 Node.js v20、v22 和 v23 上的權限模型使用者 (--permission)。(CVE-2025-23083)

  - 當要求 libcurl 對具有 CURLOPT_ACCEPT_ENCODING 選項的內容編碼 HTTP 回應執行自動 gzip 解壓縮 (**使用 zlib 1.2.0.3 或更舊版本**) 時，受攻擊者控制的整數溢位會使 libcurl 執行緩衝區溢位。(CVE-2025-0725)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Node.js 版本早於 18.20.6、20.18.2、22.13.1、23.6.1。因此，它受到 2025 年 1 月 21 日星期二安全性版本公告中提及的多個弱點影響。

  - 在 Node.js 中發現一個弱點，此弱點會特別影響 Windows 環境中磁碟機名稱的處理。某些 Node.js 函式在 Windows 環境中不會將磁碟機名稱視為特殊。因此，Node.js 雖然會假設一個相對路徑，但它實際上是指 root 目錄。在 Windows 系統上，若路徑不是以檔案分隔符號起始，則會被視為相對於目前目錄的路徑。此弱點會影響使用 path.join API 的 Windows 使用者。影響：感謝 taise 報告此弱點，同時感謝 tniessen 修復。(CVE-2025-23084)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Java 版本受到 2025 年 4 月 CPU 公告中提及的多個弱點影響。

  - Oracle Java SE 的 Oracle Java SE 和 Oracle GraalVM 企業版產品中的弱點 (元件: JavaFX(gstreamer))。受影響的支援版本是 Oracle Java SE: 8u441, 8u441-perf; Oracle GraalVM Enterprise Edition: 20.3.17 和 21.3.13。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若要成功攻擊，必須有攻擊者以外之他人的互動。若攻擊成功，可導致 Oracle Java SE、Oracle GraalVM Enterprise Edition 被接管。(CVE-2024-47606)

  - Oracle Java SE 的 Oracle Java SE 和 Oracle GraalVM 企業版產品中的弱點 (元件：JavaFX (WebKitGTK))。受影響的支援版本是 Oracle Java SE: 8u441; Oracle GraalVM Enterprise Edition: 20.3.17 和 21.3.13。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若要成功攻擊，必須有攻擊者以外之他人的互動。若攻擊成功，可導致 Oracle Java SE、Oracle GraalVM Enterprise Edition 被接管。(CVE-2024-54534)

  - Oracle Java SE 的 Oracle GraalVM for JDK 產品中的弱點 (元件：Node (Node.js))。受影響的支援版本是 Oracle GraalVM for JDK: 17.0.14 和 21.0.6。攻擊此弱點的難度較低，未經驗證的攻擊者若登入執行 Oracle GraalVM for JDK 的基礎架構，即可利用此弱點入侵 Oracle GraalVM for JDK。若攻擊成功，攻擊者即可在未經授權的情況下建立、刪除或修改關鍵資料或所有的 Oracle GraalVM for JDK 可存取資料，以及在未經授權的情況下存取關鍵資料或完全存取所有的 Oracle GraalVM for JDK 可存取資料。CVE-2025-23083

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 41 ホストには、FEDORA-2025-e330d34ecc のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

        バージョン 18.20.6 に更新してください (rhbz#2341760) (rhbz#2340936) (rhbz#2300997)

        CVE-2025-23084 を解決します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されている Tenable Identity Exposure は、3.77.9 より前のバージョンです。そのため、アドバイザリ TNS-2025-01 によると、以下を含む複数の脆弱性による影響を受けます:

  - libcurl は、スレッド化された名前解決を完了した後に接続チャネルを切断する際に、誤って同じ eventfd ファイル記述子を 2 回閉じてしまいます。(CVE-2025-0665)

  - diagnostics_channel ユーティリティを使用すると、ワーカースレッドが作成されるたびにイベントをフックできます。これはワーカーに限定されるものではなく、内部ワーカーにも及ぶ可能性があります。これにより、内部ワーカーのインスタンスをフェッチしたり、コンストラクターを取得して悪用したりする可能性があります。この脆弱性は、Node.js v20、v22、v23 のアクセス許可モデルユーザー (--permission) に影響します。(CVE-2025-23083)

  - libcurl が、コンテンツエンコードされた HTTP 応答の gzip 展開を、CURLOPT_ACCEPT_ENCODING オプションで自動 gzip 展開を実行するように要求される場合、**zlib 1.2.0.3 以前を使用すると**、攻撃者が制御する整数オーバーフローにより、libcurl がバッファオーバーフローを実行する可能性があります。(CVE-2025-0725)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上安装的 Node.js 版本低于 18.20.6、20.18.2、22.13.1、23.6.1。因此，它受到 2025 年 1 月 21 日星期二安全版本公告中提及的多个漏洞影响。

  - 在 Node.js 中发现漏洞，此漏洞会影响对 Windows 环境中的驱动器名称的处理方式。某些 Node.js 函数未将 Windows 上的驱动器名称视为特殊驱动器。因此，尽管 Node.js 采用相对路径，但实际上指的是根目录。在 Windows 上，不以文件分隔符开头的路径被视为与当前目录相关。此漏洞会影响 path.join API 的 Windows 用户。影响 : 感谢 taise 报告此漏洞，同时感谢 tniessen 修复此漏洞。(CVE-2025-23084)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Java 版本受到 2025 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞 (component: JavaFX (gstreamer))。支持的版本中受影响的是 Oracle Java SE : 8u441、8u441-perf；Oracle GraalVM Enterprise Edition : 20.3.17 和 21.3.13。此漏洞较难受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。除攻击者以外的他人进行交互是实现成功攻击的必要条件。攻击者如成功利用此漏洞进行攻击，则可以接管 Oracle Java SE、Oracle GraalVM Enterprise Edition。(CVE-2024-47606)

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：JavaFX (WebKitGTK)）。支持的版本中受影响的是 Oracle Java SE : 8u441；Oracle GraalVM Enterprise Edition : 20.3.17 和 21.3.13。此漏洞较难受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。除攻击者以外的他人进行交互是实现成功攻击的必要条件。攻击者如成功利用此漏洞进行攻击，则可以接管 Oracle Java SE、Oracle GraalVM Enterprise Edition。(CVE-2024-54534)

  - Oracle Java SE 的 Oracle GraalVM for JDK 产品中的漏洞（组件：Node (Node.js)）。支持的版本中受影响的是 Oracle GraalVM for JDK : 17.0.14 和 21.0.6。攻击此漏洞的难度较低，未经身份验证的攻击者可以借此登录执行 Oracle GraalVM for JDK 的基础设施，从而入侵 Oracle GraalVM for JDK。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有的 Oracle GraalVM for JDK 可访问数据，并且未经授权即可访问关键数据或完整访问所有的 Oracle GraalVM for JDK 可访问数据。(CVE-2025-23083)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Fedora 41 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-e330d34ecc advisory.

        Update to version 18.20.6 (rhbz#2341760) (rhbz#2340936) (rhbz#2300997)

        Resolves CVE-2025-23084

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of the Tenable Identity Exposure running on the remote host is prior to 3.77.9. It is, therefore, affected by multiple vulnerabilities according to advisory TNS-2025-01, including the following:

  - libcurl would wrongly close the same eventfd file descriptor twice when taking down a connection channel     after having completed a threaded name resolve. (CVE-2025-0665)

  - With the aid of the diagnostics_channel utility, an event can be hooked into whenever a worker thread     is created. This is not limited only to workers but also exposes internal workers, where an instance     of them can be fetched, and its constructor can be grabbed and reinstated for malicious usage. This     vulnerability affects Permission Model users (--permission) on Node.js v20, v22, and v23. (CVE-2025-23083)

  - When libcurl is asked to perform automatic gzip decompression of content-encoded HTTP responses with     the CURLOPT_ACCEPT_ENCODING option, **using zlib 1.2.0.3 or older**, an attacker-controlled integer     overflow would make libcurl perform a buffer overflow. (CVE-2025-0725)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Node.js installed on the remote host is prior to 18.20.6, 20.18.2, 22.13.1, 23.6.1. It is, therefore, affected by multiple vulnerabilities as referenced in the Tuesday, January 21, 2025 Security Releases advisory.

  - A vulnerability has been identified in Node.js, specifically affecting the handling of drive names in the     Windows environment. Certain Node.js functions do not treat drive names as special on Windows. As a     result, although Node.js assumes a relative path, it actually refers to the root directory. On Windows, a     path that does not start with the file separator is treated as relative to the current directory. This     vulnerability affects Windows users of path.join API. Impact: Thank you, to taise for reporting this     vulnerability and thank you tniessen for fixing it. (CVE-2025-23084)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The versions of Java installed on the remote host are affected by multiple vulnerabilities as referenced in the April 2025 CPU advisory.

  - Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE     (component: JavaFX (gstreamer)). Supported versions that are affected are Oracle Java SE: 8u441,     8u441-perf; Oracle GraalVM Enterprise Edition: 20.3.17 and 21.3.13. Difficult to exploit vulnerability     allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE,     Oracle GraalVM Enterprise Edition. Successful attacks require human interaction from a person other than     the attacker. Successful attacks of this vulnerability can result in takeover of Oracle Java SE, Oracle     GraalVM Enterprise Edition. (CVE-2024-47606)

  - Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE     (component: JavaFX (WebKitGTK)). Supported versions that are affected are Oracle Java SE: 8u441; Oracle     GraalVM Enterprise Edition: 20.3.17 and 21.3.13. Difficult to exploit vulnerability allows     unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle     GraalVM Enterprise Edition. Successful attacks require human interaction from a person other than the     attacker. Successful attacks of this vulnerability can result in takeover of Oracle Java SE, Oracle     GraalVM Enterprise Edition. (CVE-2024-54534)

  - Vulnerability in the Oracle GraalVM for JDK product of Oracle Java SE (component: Node (Node.js)).     Supported versions that are affected are Oracle GraalVM for JDK: 17.0.14 and 21.0.6. Easily exploitable     vulnerability allows unauthenticated attacker with logon to the infrastructure where Oracle GraalVM for     JDK executes to compromise Oracle GraalVM for JDK. Successful attacks of this vulnerability can result in      unauthorized creation, deletion or modification access to critical data or all Oracle GraalVM for JDK      accessible data as well as unauthorized access to critical data or complete access to all Oracle GraalVM      for JDK accessible data. (CVE-2025-23083)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update of the nodejs package has been released.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
214867	Fedora 40 : nodejs18 (2025-cc8f9d8943)	Nessus	Fedora Local Security Checks	2025/2/1	2025/8/20	medium
214867	Fedora 40 : nodejs18 (2025-cc8f9d8943)	Nessus	Fedora Local Security Checks	2025/2/1	2025/8/20	medium
243568	Node.js 18.x < 18.20.6 / 20.x < 20.18.2 / 22.x < 22.13.1 / 23.x < 23.6.1 複数の脆弱性 (2025 年 1 月 21 日火曜日のセキュリティリリース)。	Nessus	Misc.	2025/8/5	2025/8/5	medium
234624	Oracle Java SE の複数の脆弱性 (2025 年 4 月 CPU)	Nessus	Misc.	2025/4/18	2025/8/12	critical
215200	Tenable Identity Exposure < 3.77.9 多个漏洞 (TNS-2025-01)	Nessus	Windows	2025/2/20	2025/8/20	medium
215200	Tenable Identity Exposure < 3.77.9 多個弱點 (TNS-2025-01)	Nessus	Windows	2025/2/20	2025/8/20	medium
243568	Node.js 18.x < 18.20.6 / 20.x < 20.18.2 / 22.x < 22.13.1 / 23.x < 23.6.1 多個弱點 (2025 年 1 月 21 日安全公告)。	Nessus	Misc.	2025/8/5	2025/8/5	medium
234624	Oracle Java SE 多個弱點 (2025 年 4 月 CPU)	Nessus	Misc.	2025/4/18	2025/8/12	critical
214860	Fedora 41 : nodejs18 (2025-e330d34ecc)	Nessus	Fedora Local Security Checks	2025/2/1	2025/8/20	medium
215200	Tenable Identity Exposure < 3.77.9 の複数の脆弱性 (TNS-2025-01)	Nessus	Windows	2025/2/20	2025/8/20	medium
243568	Node.js 18.x < 18.20.6 / 20.x < 20.18.2 / 22.x < 22.13.1 / 23.x < 23.6.1 多个漏洞（2025 年 1 月 21 日星期二安全版本）。	Nessus	Misc.	2025/8/5	2025/8/5	medium
234624	Oracle Java SE 多个漏洞 (2025 年 4 月 CPU)	Nessus	Misc.	2025/4/18	2025/8/12	critical
214860	Fedora 41 : nodejs18 (2025-e330d34ecc)	Nessus	Fedora Local Security Checks	2025/2/1	2025/8/20	medium
215200	Tenable Identity Exposure < 3.77.9 Multiple Vulnerabilities (TNS-2025-01)	Nessus	Windows	2025/2/20	2025/8/20	medium
243568	Node.js 18.x < 18.20.6 / 20.x < 20.18.2 / 22.x < 22.13.1 / 23.x < 23.6.1 Multiple Vulnerabilities (Tuesday, January 21, 2025 Security Releases).	Nessus	Misc.	2025/8/5	2025/8/5	medium
234624	Oracle Java SE Multiple Vulnerabilities (April 2025 CPU)	Nessus	Misc.	2025/4/18	2025/8/12	critical
236956	Photon OS 4.0: Nodejs PHSA-2025-4.0-0801	Nessus	PhotonOS Local Security Checks	2025/5/20	2025/5/20	critical

检测

插件搜索

medium

medium

medium

critical

medium

medium

medium

critical

medium

medium

medium

critical

medium

medium

medium

critical

critical