Linux Distros 未修補弱點:CVE-2026-78254

high Nessus Plugin ID 343526

概要

Linux/Unix 主機上安裝的一個或多個套件存有弱點,廠商表示將不會修補。

說明

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件,且廠商未提供可用的修補程式。

- Apache Ant 的 ftp 和 scp 任務可以從遠端伺服器下載檔案。惡意伺服器可以提供相對路徑,使其能夠在下載的專用目標目錄之外寫入,從而可以使用在 Ant 1.10.18之前的版本中執行 Ant 的使用者的權限覆蓋攻擊者選擇的檔案。若要惡意探索此弱點,伺服器必須是惡意的,或受到中間機器攻擊。此外,在使用 ftps 的 scp 或 ftp 工作的情況下,伺服器必須通過工作所執行的伺服器身分檢查。對於不使用 ftp 的 ftp 任務,惡意伺服器可以充當中間機器來提供惡意檔案。
從 Ant 1.10.18 開始,依預設,這兩個工作都會防止在目標目錄之外寫入。
在現有組建檔案需要舊行為的情況下,可以使用選項停用此行為。緩解措施:任何版本的 Ant 中 scp 和 ftp (使用 ftps 時) 的使用者都不應繞過伺服器身分檢查。不使用 ftps 的 ftp 使用者應盡可能切換到 ftps。建議所有使用者升級到 Apache Ant 1.10.18,這樣可以解決此問題。(CVE-2026-78254)

請注意,Nessus 的判定取決於廠商所報告的套件是否存在。

解決方案

目前尚未有已知的解決方案。

另請參閱

https://access.redhat.com/security/cve/cve-2026-78254

https://security-tracker.debian.org/tracker/CVE-2026-78254

Plugin 詳細資訊

嚴重性: High

ID: 343526

檔案名稱: unpatched_CVE_2026_78254.nasl

版本: 1.2

類型: Local

代理程式: unix

系列: Misc.

已發布: 2026/9/7

已更新: 2026/9/8

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.3

百分位數: 53.41

CVSS v2

風險因素: Medium

基本分數: 5.8

時間性分數: 4.9

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS 評分資料來源: CVE-2026-78254

CVSS v3

風險因素: High

基本分數: 7.4

時間性分數: 6.8

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

時間媒介: CVSS:3.0/E:U/RL:U/RC:C

弱點資訊

CPE: cpe:/o:centos:centos:7, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:centos:centos:ant-antlr, p-cpe:/a:centos:centos:ant-apache-bcel, p-cpe:/a:centos:centos:ant-apache-bsf, p-cpe:/a:centos:centos:ant-apache-log4j, p-cpe:/a:centos:centos:ant-apache-oro, p-cpe:/a:centos:centos:ant-apache-regexp, p-cpe:/a:centos:centos:ant-apache-resolver, p-cpe:/a:centos:centos:ant-commons-logging, p-cpe:/a:centos:centos:ant-commons-net, p-cpe:/a:centos:centos:ant-javadoc, p-cpe:/a:centos:centos:ant-javamail, p-cpe:/a:centos:centos:ant-jdepend, p-cpe:/a:centos:centos:ant-jmf, p-cpe:/a:centos:centos:ant-jsch, p-cpe:/a:centos:centos:ant-junit, p-cpe:/a:centos:centos:ant-manual, p-cpe:/a:centos:centos:ant-nodeps, p-cpe:/a:centos:centos:ant-scripts, p-cpe:/a:centos:centos:ant-swing, p-cpe:/a:centos:centos:ant-trax, p-cpe:/a:centos:centos:ant, p-cpe:/a:centos:centos:batik-demo, p-cpe:/a:centos:centos:batik-javadoc, p-cpe:/a:centos:centos:batik-rasterizer, p-cpe:/a:centos:centos:batik-slideshow, p-cpe:/a:centos:centos:batik-squiggle, p-cpe:/a:centos:centos:batik-svgpp, p-cpe:/a:centos:centos:batik-ttf2svg, p-cpe:/a:centos:centos:batik, p-cpe:/a:centos:centos:codemodel-javadoc, p-cpe:/a:centos:centos:codemodel, p-cpe:/a:centos:centos:ecj, p-cpe:/a:centos:centos:glassfish-jaxb-bom-ext, p-cpe:/a:centos:centos:glassfish-jaxb-bom, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel-annotation-compiler, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel-parent, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel, p-cpe:/a:centos:centos:glassfish-jaxb-core, p-cpe:/a:centos:centos:glassfish-jaxb-external-parent, p-cpe:/a:centos:centos:glassfish-jaxb-parent, p-cpe:/a:centos:centos:glassfish-jaxb-rngom, p-cpe:/a:centos:centos:glassfish-jaxb-runtime-parent, p-cpe:/a:centos:centos:glassfish-jaxb-runtime, p-cpe:/a:centos:centos:glassfish-jaxb-txw-parent, p-cpe:/a:centos:centos:glassfish-jaxb-txw2, p-cpe:/a:centos:centos:glassfish-jaxb, p-cpe:/a:centos:centos:groovy-javadoc, p-cpe:/a:centos:centos:groovy, p-cpe:/a:centos:centos:jandex-javadoc, p-cpe:/a:centos:centos:jandex, p-cpe:/a:centos:centos:jmc, p-cpe:/a:centos:centos:maven-antrun-plugin-javadoc, p-cpe:/a:centos:centos:maven-antrun-plugin, p-cpe:/a:centos:centos:maven-invoker-plugin-javadoc, p-cpe:/a:centos:centos:maven-invoker-plugin, p-cpe:/a:centos:centos:maven-plugin-annotations, p-cpe:/a:centos:centos:maven-plugin-plugin, p-cpe:/a:centos:centos:maven-plugin-tools-annotations, p-cpe:/a:centos:centos:maven-plugin-tools-api, p-cpe:/a:centos:centos:maven-plugin-tools-generators, p-cpe:/a:centos:centos:maven-plugin-tools-java, p-cpe:/a:centos:centos:maven-plugin-tools-javadoc, p-cpe:/a:centos:centos:maven-plugin-tools, p-cpe:/a:centos:centos:maven-script-interpreter-javadoc, p-cpe:/a:centos:centos:maven-script-interpreter, p-cpe:/a:centos:centos:maven-shared-jar-javadoc, p-cpe:/a:centos:centos:maven-shared-jar, p-cpe:/a:centos:centos:objectweb-anttask-javadoc, p-cpe:/a:centos:centos:objectweb-anttask, p-cpe:/a:centos:centos:plexus-ant-factory-javadoc, p-cpe:/a:centos:centos:plexus-ant-factory, p-cpe:/a:centos:centos:testng-javadoc, p-cpe:/a:centos:centos:testng, p-cpe:/a:centos:centos:tomcat-jakartaee-migration, p-cpe:/a:centos:centos:txw2-javadoc, p-cpe:/a:centos:centos:txw2, p-cpe:/a:debian:debian_linux:ant, p-cpe:/a:redhat:enterprise_linux:ant-antlr, p-cpe:/a:redhat:enterprise_linux:ant-apache-bcel, p-cpe:/a:redhat:enterprise_linux:ant-apache-bsf, p-cpe:/a:redhat:enterprise_linux:ant-apache-log4j, p-cpe:/a:redhat:enterprise_linux:ant-apache-oro, p-cpe:/a:redhat:enterprise_linux:ant-apache-regexp, p-cpe:/a:redhat:enterprise_linux:ant-apache-resolver, p-cpe:/a:redhat:enterprise_linux:ant-commons-logging, p-cpe:/a:redhat:enterprise_linux:ant-commons-net, p-cpe:/a:redhat:enterprise_linux:ant-javadoc, p-cpe:/a:redhat:enterprise_linux:ant-javamail, p-cpe:/a:redhat:enterprise_linux:ant-jdepend, p-cpe:/a:redhat:enterprise_linux:ant-jmf, p-cpe:/a:redhat:enterprise_linux:ant-jsch, p-cpe:/a:redhat:enterprise_linux:ant-junit, p-cpe:/a:redhat:enterprise_linux:ant-manual, p-cpe:/a:redhat:enterprise_linux:ant-nodeps, p-cpe:/a:redhat:enterprise_linux:ant-scripts, p-cpe:/a:redhat:enterprise_linux:ant-swing, p-cpe:/a:redhat:enterprise_linux:ant-trax, p-cpe:/a:redhat:enterprise_linux:ant, p-cpe:/a:redhat:enterprise_linux:batik-demo, p-cpe:/a:redhat:enterprise_linux:batik-javadoc, p-cpe:/a:redhat:enterprise_linux:batik-rasterizer, p-cpe:/a:redhat:enterprise_linux:batik-slideshow, p-cpe:/a:redhat:enterprise_linux:batik-squiggle, p-cpe:/a:redhat:enterprise_linux:batik-svgpp, p-cpe:/a:redhat:enterprise_linux:batik-ttf2svg, p-cpe:/a:redhat:enterprise_linux:batik, p-cpe:/a:redhat:enterprise_linux:codemodel-javadoc, p-cpe:/a:redhat:enterprise_linux:codemodel, p-cpe:/a:redhat:enterprise_linux:ecj, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-bom-ext, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-bom, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel-annotation-compiler, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-core, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-external-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-rngom, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-runtime-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-runtime, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-txw-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-txw2, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb, p-cpe:/a:redhat:enterprise_linux:groovy-javadoc, p-cpe:/a:redhat:enterprise_linux:groovy, p-cpe:/a:redhat:enterprise_linux:jandex-javadoc, p-cpe:/a:redhat:enterprise_linux:jandex, p-cpe:/a:redhat:enterprise_linux:jmc, p-cpe:/a:redhat:enterprise_linux:maven-antrun-plugin-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-antrun-plugin, p-cpe:/a:redhat:enterprise_linux:maven-invoker-plugin-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-invoker-plugin, p-cpe:/a:redhat:enterprise_linux:maven-plugin-annotations, p-cpe:/a:redhat:enterprise_linux:maven-plugin-plugin, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-annotations, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-api, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-generators, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-java, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools, p-cpe:/a:redhat:enterprise_linux:maven-script-interpreter-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-script-interpreter, p-cpe:/a:redhat:enterprise_linux:maven-shared-jar-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-shared-jar, p-cpe:/a:redhat:enterprise_linux:objectweb-anttask-javadoc, p-cpe:/a:redhat:enterprise_linux:objectweb-anttask, p-cpe:/a:redhat:enterprise_linux:plexus-ant-factory-javadoc, p-cpe:/a:redhat:enterprise_linux:plexus-ant-factory, p-cpe:/a:redhat:enterprise_linux:testng-javadoc, p-cpe:/a:redhat:enterprise_linux:testng, p-cpe:/a:redhat:enterprise_linux:tomcat-jakartaee-migration, p-cpe:/a:redhat:enterprise_linux:txw2-javadoc, p-cpe:/a:redhat:enterprise_linux:txw2

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier

可輕鬆利用: No known exploits are available

弱點發布日期: 2026/9/7

參考資訊

CVE: CVE-2026-78254