Linux Distros 未修補弱點：CVE-2026-64684

medium Nessus Plugin ID 346886

語言:

概要

Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。

說明

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

- RMCP 是模型上下文協議的官方 Rust SDK。在之前 2.1.0，crates/rmcp/src/transport/common/reqwest/streamable_http_client.rs 中的 rmcp crate 的 StreamableHttpClientTransport 會使用 reqwest 的自動重新導向原則建置其default_http_client，並套用來自 StreamableHttpClientTransportConfig.custom_headers 的呼叫端提供的值，而不將其標示為敏感值。當惡意或遭入侵的 MCP 端點傳回跨來源 307 或 308 重新導向時，reqwest 會遵循重新導向，並apply_custom_headers導致自訂 API 金鑰或驗證權杖重播到新的來源，攻擊者可以在其中擷取並重複使用它們。單獨的auth_header路徑不受影響，因為它使用標準 Authorization 標頭，該標頭在跨來源重新導向時要求剝離。2.1.0 版已修正此問題。(CVE-2026-64684)

請注意，Nessus 依賴供應商報告的套件存在。

解決方案

目前尚未有已知的解決方案。

另請參閱

https://access.redhat.com/security/cve/cve-2026-64684

Plugin 詳細資訊

嚴重性: Medium

ID: 346886

檔案名稱: unpatched_CVE_2026_64684.nasl

版本: 1.2

類型: Local

代理程式: unix

系列: Misc.

已發布: 2026/9/17

已更新: 2026/9/18

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus