Linux Distros 未修補的弱點：CVE-2026-42198
high Nessus Plugin ID 310989
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- pgjdbc 是開放原始碼的 postgresql JDBC 驅動程式。從版本 42.2.0 到之前版本 42.7.11，pgjdbc 在 SCRAM-SHA-256 驗證期間容易受到用戶端拒絕服務的影響。惡意伺服器可以指示驅動程式以非常大的反覆運算計數執行 SCRAM 驗證。如果值足夠大，用戶端會在 PBKDF2 內花費無限的 CPU 時間，然後驗證才會失敗。單次嘗試會佔用一個 CPU 核心。重複或並行嘗試會耗盡用戶端 CPU，並可能楔入連線集區。在受影響的版本中，loginTimeout 並未完全緩解此問題。當 loginTimeout 到期時，呼叫端可能會停止等候，但執行連線嘗試的工作執行緒可以繼續執行，並在 SCRAM PBKDF2 運算中燒毀 CPU。此問題已在 42.7.11 版中修正。(CVE-2026-42198)
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
https://access.redhat.com/security/cve/cve-2026-42198
Plugin 詳細資訊
嚴重性: High
ID: 310989
檔案名稱: unpatched_CVE_2026_42198.nasl
版本: 1.9
類型: Local
代理程式: unix
系列: Misc.
已發布: 2026/4/29
已更新: 2026/6/11
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: High
基本分數: 7.1
時間性分數: 6
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2026-42198
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
弱點資訊
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:centos:centos:postgresql-jdbc-javadoc, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:postgresql-jdbc-javadoc, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:debian:debian_linux:13.0, cpe:/o:canonical:ubuntu_linux:14.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:libpgjava, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:centos:centos:7, p-cpe:/a:centos:centos:postgresql-jdbc, p-cpe:/a:redhat:enterprise_linux:postgresql-jdbc, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:debian:debian_linux:libpgjava, cpe:/o:canonical:ubuntu_linux:22.04:-:lts
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
參考資訊
CVE: CVE-2026-42198