Linux Distros 未修补的漏洞：CVE-2026-24001
medium Nessus 插件 ID 296224
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- jsdiff 是 JavaScript 文本差异实现。在低于版本 8.0.3、 5.2.2、 4.0.4和 3.5.1的情况下尝试解析其文件名标头包含换行符“\r”、“\u2028”或“\u2029”的修补程序可导致“parsePatch”方法进入无限循环。然后它会无限制地消耗内存直到进程因内存不足而崩溃。因此如果以用户提供的修补程序作为输入来调用“parsePatch”应用程序就可能容易遭受拒绝服务攻击。触发此漏洞不需要大负载因此对用户输入的大小限制不能提供任何保护。此外如果用户仍然能够控制文件名标头例如
通过直接提供要比较的文件的文件名。当且仅当以修补程序的字符串表示形式作为参数调用时“applyPatch”方法受到类似影响因为在背后它使用“parsePatch”解析该字符串。库的其他方法不受影响。最后当修补程序的 *patch* 标头也称为其前导垃圾中存在这些相同的换行符时也会出现第二个较小的相互依存缺陷 - ReDOS。恶意构建的 *n* 长度的修补程序标头可解析“parsePatch”O(*n*) 时间。版本 8.0.3、 5.2.2、 4.0.4和 3.5.1 包含一个补丁。变通方案是不尝试解析包含任何这些字符的修补程序
“\r”、“\u2028”或“\u2029”。 (CVE-2026-24001)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 296224
文件名: unpatched_CVE_2026_24001.nasl
版本: 1.3
类型: local
代理: unix
系列: Misc.
发布时间: 2026/1/22
最近更新时间: 2026/2/5
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.7
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2026-24001
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.9
Threat Score: 2.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:canonical:ubuntu_linux:25.10, p-cpe:/a:debian:debian_linux:node-diff, p-cpe:/a:canonical:ubuntu_linux:node-diff
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/1/14
参考资料信息
CVE: CVE-2026-24001