Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 7.0.07.30.0的8.0.08.12.1版本4.0.0中，其代理调度程序在将构造函数选项转发到每个各源池之前，通过基于 JSON 的深层克隆传递其构造函数选项，并且由于 JSON 无法表示函数，因此包含 checkServerIdentity 回调的调用程序提供的 tls 选项在到达 TLS 层之前会静默终止。因此，静默接受其自定义 checkServerIdentity 写入要拒绝的证书，但却通过 Node 的默认主机名和链检查的 TLS 对等机。由于 Agent 是 request、fetch 和 setGlobalDispatcher 背后的默认调度程序，这会影响大多数应用程序使用的路径，并且 EnvHttpProxyAgent 也在其直接和非代理路由上受到影响，而只有传递函数值 tls 选项（例如用于证书或公钥固定的自定义 checkServerIdentity）的应用程序面临风险。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，其在 JSON 克隆外部保留了 tls 选项，因此自定义验证回调会原样转发，用户应升级到其中一个版本或更高版本。变通方案是通过连接而非 TLS 传递 TLS 选项，或对于代理目的地使用 requestTls 和 proxyTls。（CVE-2026-109383）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 7.0.0 和 8.0.07.30.08.12.1通過 的6.29.0版本4.0.0中，其代理程式分派器會先透過 JSON 型深層複製傳遞其建構函式選項，然後再將它們轉送至每個來源集區，而且由於 JSON 無法表示函式，因此包含 checkServerIdentity 回呼的呼叫端提供的 tls 選項在到達 TLS 層之前會以無訊息方式刪除。因此，會以無訊息方式接受其自訂 checkServerIdentity 憑證已寫入拒絕，但通過 Node 預設主機名稱和鏈結檢查的 TLS 對等體。由於 Agent 是 request、fetch 和 setGlobalDispatcher 背後的預設分派器，因此這會影響大多數應用程式使用的路徑，而 EnvHttpProxyAgent 的直接和無 Proxy 路由也會受到影響，而只有傳遞函式值 tls 選項 （例如憑證或公開金鑰釘選的自訂 checkServerIdentity） 的應用程式才有風險。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，它們會在 JSON 複製之外保留 tls 選項，因此自訂驗證回呼會原封不動地轉送，而且使用者應升級至其中一個版本或更新版本。因應措施是透過 connect 而不是 tls 傳遞 TLS 選項，或針對代理目的地使用 requestTls 和 proxyTls。（CVE-2026-109383）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用の HTTP クライアントライブラリです。4.0.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、エージェントディスパッチャーは、コンストラクターオプションをオリジンごとの各プールに転送する前に、JSONベースのディープクローンを通じてそれらを渡します。そして、JSONは関数を表現できないため、checkServerIdentityコールバックを含む呼び出し元指定のtlsオプションは、TLSレイヤーに到達する前に警告なしでドロップされます。その結果、証明書がカスタムcheckServerIdentityによって拒否されるように書き込まれたものの、Nodeのデフォルトのホスト名とチェーンチェックに合格するTLSピアは、密かに受け入れられます。Agent は、request、fetch、および setGlobalDispatcher の背後にあるデフォルトのディスパッチャーであるため、これは多くのアプリケーションが使用するパスに影響を与え、EnvHttpProxyAgent はそのダイレクトおよび非プロキシルートでも影響を受けますが、証明書または公開鍵ピンニング用のカスタム checkServerIdentity などの関数値の tls オプションを渡すアプリケーションのみがリスクにさらされます。undici 6.29.1、 7.30.1、および 8.12.2 でこの問題は修正されています。これらは JSON クローンの外部に tls オプションを保持しているため、カスタム検証コールバックは変更されずに転送されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS オプションを tls の代わりに接続から渡すか、プロキシされた宛先に requestTls と proxyTls を使用します。(CVE-2026-109383)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - undici is an HTTP client library for Node.js. In versions 4.0.0 through 6.29.0, 7.0.0 through 7.30.0, and     8.0.0 through 8.12.1, its Agent dispatcher passes its constructor options through a JSON-based deep clone     before forwarding them to each per-origin pool, and because JSON cannot represent functions, a caller-     supplied tls option containing a checkServerIdentity callback is silently dropped before it reaches the     TLS layer. As a result, a TLS peer whose certificate a custom checkServerIdentity was written to reject,     but which passes Node's default hostname and chain checks, is silently accepted. Because Agent is the     default dispatcher behind request, fetch, and setGlobalDispatcher, this affects the path most applications     use, and EnvHttpProxyAgent is affected on its direct and no-proxy routes as well, while only applications     that pass a function-valued tls option such as a custom checkServerIdentity for certificate or public-key     pinning are at risk. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which preserve the tls     option outside the JSON clone so custom verification callbacks are forwarded unchanged, and users should     upgrade to one of those versions or later. As a workaround, pass the TLS options through connect instead     of tls, or for proxied destinations use requestTls and proxyTls. (CVE-2026-109383)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
366357	Linux Distros 未修补的漏洞：CVE-2026-109383	Nessus	Misc.	2026/10/16	2026/10/20	critical
366357	Linux Distros 未修補弱點：CVE-2026-109383	Nessus	Misc.	2026/10/16	2026/10/20	critical
366357	Linux Distros のパッチ未適用の脆弱性: CVE-2026-109383	Nessus	Misc.	2026/10/16	2026/10/20	critical
366357	Linux Distros Unpatched Vulnerability : CVE-2026-109383	Nessus	Misc.	2026/10/16	2026/10/20	critical

检测

插件搜索

critical

critical

critical

critical