Linux Distros 未修補弱點：CVE-2026-49214
medium Nessus Plugin ID 317996
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。- guzzlehttp/psr7 是一個在 PHP 中實作的 PSR-7 HTTP 訊息程式庫。之前 2.10.2 的版本不會拒絕第一方 URI 主機元件中的 ASCII 控制字元、空格或 DEL。易受攻擊的流程是： 首先，應用程式接受使用者控制的 URL。其次，URL 用於建構 PSR-7 「Uri」或「請求」。第三，主機元件包含 CRLF 或其他標頭不安全字元。第四，當未提供明確的「Host」標頭時，主機會複製到 PSR-7 「Host」標頭中。最後，要求會序列化或由不獨立拒絕格式錯誤主機的 HTTP 用戶端傳送。在該流程中，攻擊者可導致序列化要求包含其他攻擊者控制的標頭行。例如，包含「\r\nX-Injected： yes」的主機可能會導致產生的「Host」標頭跨越多個 HTTP 標頭行。當應用程式使用使用者控制的 URL 進行傳出 HTTP 要求、URL 轉送、代理、編目、Webhook 傳遞或類似的要求分派流程時，它們會受到影響。在涉及 HTTP/1.1 連線重複使用、Proxy、閘道或負載平衡器的部署中，此格式錯誤的要求也可能導致要求走私或快取中毒，具體取決於下游元件剖析要求的方式。此問題已在 '2.10.2' 及之後版本修補。 '1.x' 已結束生命週期，不會收到修補程式。因應措施是先驗證並拒絕所有不受信任的 URI 字串，再建構 PSR-7 「Uri」 或「要求」實例。拒絕包含 ASCII 控制字元、空格或 DEL（包括 CRLF、定位點、空格、NUL 或 DEL 字元）的輸入。轉送要求的應用程式也應該確保最終的 HTTP 用戶端或序列化程式在將要求寫入網路之前拒絕無效的 URI 和標頭資料。（CVE-2026-49214）
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 317996
檔案名稱: unpatched_CVE_2026_49214.nasl
版本: 1.4
類型: Local
代理程式: unix
系列: Misc.
已發布: 2026/5/30
已更新: 2026/6/12
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 2.9
CVSS v2
風險因素: Medium
基本分數: 5
時間性分數: 4.3
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2026-49214
CVSS v3
風險因素: Medium
基本分數: 5.3
時間性分數: 4.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
弱點資訊
CPE: p-cpe:/a:canonical:ubuntu_linux:php-guzzlehttp-psr7, cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:debian:debian_linux:13.0, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:debian:debian_linux:php-guzzlehttp-psr7, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:26.04:-:lts
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
參考資訊
CVE: CVE-2026-49214