There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The Apache Qpid Proton-J transport includes an optional wrapper layer to perform TLS, enabled by use of
    the 'transport.ssl(...)' methods. Unless a verification mode was explicitly configured, client and server
    modes previously defaulted as documented to not verifying a peer certificate, with options to configure
    this explicitly or select a certificate verification mode with or without hostname verification being
    performed. The latter hostname verifying mode was not implemented in Apache Qpid Proton-J versions 0.3 to
    0.29.0, with attempts to use it resulting in an exception. This left only the option to verify the
    certificate is trusted, leaving such a client vulnerable to Man In The Middle (MITM) attack. Uses of the
    Proton-J protocol engine which do not utilise the optional transport TLS wrapper are not impacted, e.g.
    usage within Qpid JMS. Uses of Proton-J utilising the optional transport TLS wrapper layer that wish to
    enable hostname verification must be upgraded to version 0.30.0 or later and utilise the
    VerifyMode#VERIFY_PEER_NAME configuration, which is now the default for client mode usage unless
    configured otherwise. (CVE-2018-17187)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Qpid Proton-J 传输包含执行 TLS 的可选封装程序层其可通过使用“transport.ssl(...)”方法启用。除非明确配置了验证模式否则客户端和服务器模式之前记录的会默认为不验证对等证书提供明确配置此选项的选项或选择执行或不执行主机名验证的证书验证模式。Apache Qpid Proton-J 版本 0.3 至 0.29.0中未实现后者主机名验证模式尝试使用会导致异常。此操作只留下了用于验证证书是否受信任的选项，使此类客户端容易受到中间人 (MITM) 攻击。未利用可选传输 TLS 封装的 Proton-J 协议引擎的使用不会受到影响例如
    Qpid JMS 内的使用情况。使用利用可选传输 TLS wrapper 层的 Proton-J 若希望启用主机名验证则必须升级到 0.30.0 或更高版本并使用 VerifyMode#VERIFY_PEER_NAME 配置(现在是客户端模式使用的默认配置除非另有配置)。 (CVE-2018-17187)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache Qpid Proton-J 傳輸包含執行 TLS 的選用包裝函式層其可使用「transport.ssl(...)」方法啟用。除非明確設定驗證模式否則用戶端和伺服器模式之前會依記錄預設為不驗證對等憑證並提供明確設定此選項的選項或選擇憑證驗證模式 (執行或不執行主機名稱驗證)。後一種主機名稱驗證模式未在 Apache Qpid Proton-J 0.3 至 0.29.0版中實作嘗試使用時會導致例外狀況。這僅留下驗證憑證是否受信任的選項而使此類用戶端容易遭受攔截式 (MITM) 攻擊。不使用選用的傳輸 TLS 包裝函式之 Proton-J 通訊協定引擎的使用不受影響例如
    Qpid JMS 中的使用量。利用選用傳輸 TLS 包裝函式層的 Proton-J 使用者若想啟用主機名稱驗證必須升級至 0.30.0 版或更新版本並使用 VerifyMode#VERIFY_PEER_NAME 組態這現在是用戶端模式使用的預設值除非另有設定。 (CVE-2018-17187)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Qpid Proton-J トランスポートには、TLS を実行するためのオプションのラッパーレイヤーが含まれており、「transport.ssl(...)」メソッドを使用することで有効になっています。検証モードが明示的に構成されていない限り、クライアントとサーバーのモードは、以前はピア証明書を検証しないようにデフォルト化されていました。オプションでは、これを明示的に構成したり、ホスト名の検証の有無にかかわらず、証明書検証モードを選択したりすることができます。後者のホスト名検証モードは Apache Qpid Proton-J バージョン 0.3 から 0.29.0に実装されず、使用を試みると例外が発生します。これにより、証明書が信頼できるものであることを検証するオプションだけが残っており、このようなクライアントは中間者MITM攻撃に対して脆弱なままになります。オプションのトランスポート TLS ラッパーを利用しない Proton-J プロトコルエンジンの使用は影響を受けません。例えば、
    Qpid JMS 内の の使用率。ホスト名の検証を有効化したいオプションのトランスポート TLS ラッパーレイヤーを利用する Proton-J の使用は、バージョン 0.30.0 以降にアップグレードし、VerifyMode#VERIFY_PEER_NAME 構成を利用する必要があります。これは現在、別の構成をしていない限り、クライアントモード使用のデフォルトになっています。CVE-2018-17187

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The Apache Qpid Proton-J transport includes an optional wrapper layer to perform TLS, enabled by use of     the 'transport.ssl(...)' methods. Unless a verification mode was explicitly configured, client and server     modes previously defaulted as documented to not verifying a peer certificate, with options to configure     this explicitly or select a certificate verification mode with or without hostname verification being     performed. The latter hostname verifying mode was not implemented in Apache Qpid Proton-J versions 0.3 to     0.29.0, with attempts to use it resulting in an exception. This left only the option to verify the     certificate is trusted, leaving such a client vulnerable to Man In The Middle (MITM) attack. Uses of the     Proton-J protocol engine which do not utilise the optional transport TLS wrapper are not impacted, e.g.
    usage within Qpid JMS. Uses of Proton-J utilising the optional transport TLS wrapper layer that wish to     enable hostname verification must be upgraded to version 0.30.0 or later and utilise the     VerifyMode#VERIFY_PEER_NAME configuration, which is now the default for client mode usage unless     configured otherwise. (CVE-2018-17187)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
422827	SCA: security update for org.apache.qpid:proton-j (GHSA-xvch-r4wf-h8w9)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/29	2026/7/2	high
422827	SCA: security update for org.apache.qpid:proton-j (GHSA-xvch-r4wf-h8w9)	Tenable Cloud Security	SCA Checks	2025/3/29	2026/7/2	high
252632	Linux Distros 未修补的漏洞：CVE-2018-17187	Nessus	Misc.	2025/8/20	2026/8/8	high
252632	Linux Distros 未修補的弱點：CVE-2018-17187	Nessus	Misc.	2025/8/20	2026/8/8	high
252632	Linux Distros のパッチ未適用の脆弱性: CVE-2018-17187	Nessus	Misc.	2025/8/20	2026/8/8	high
252632	Linux Distros Unpatched Vulnerability : CVE-2018-17187	Nessus	Misc.	2025/8/20	2026/8/8	high

偵測

搜尋 Plugin

high

high

high

high

high

high