リモートの Fedora 40 ホストには、FEDORA-2024-560a7aca85 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jose は JSON Object Signing and Encryption 用の JavaScript モジュールであり、JSON Web Tokens (JWT)、JSON Web Signature (JWS)、JSON Web Encryption (JWE)、JSON Web Key (JWK)、JSON Web Key Set (JWKS) などをサポートしています。JSON Web Encryption (JWE) 復号化インターフェースにおいて、特に復号後の平文の解凍のサポートに関連する脆弱性が特定されました。特定の条件下では、JWE 復号化操作中にユーザーの環境で CPU 時間やメモリを過度に消費させる可能性があります。この問題には、バージョン 2.0.7 および 4.15.5 でパッチが適用されています。
    (CVE-2024-28176)

  - jose パッケージは、Javascript オブジェクト署名および暗号化標準セットの実装を提供することを目指しています。攻撃者は、Decrypt や DecryptMulti による解凍の際に、大量のメモリと CPU を使用させる圧縮データを含んだ JWE を送信する可能性があります。解凍されたデータが 250kB または圧縮サイズの 10x のいずれか大きい方を超える場合、これらの関数はエラーを返すように修正されました。この脆弱性はバージョン 4.0.1、3.0.3、および 2.6.3 でパッチが適用されています。(CVE-2024-28180)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-831bad8f8f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jose は JSON Object Signing and Encryption 用の JavaScript モジュールであり、JSON Web Tokens (JWT)、JSON Web Signature (JWS)、JSON Web Encryption (JWE)、JSON Web Key (JWK)、JSON Web Key Set (JWKS) などをサポートしています。JSON Web Encryption (JWE) 復号化インターフェースにおいて、特に復号後の平文の解凍のサポートに関連する脆弱性が特定されました。特定の条件下では、JWE 復号化操作中にユーザーの環境で CPU 時間やメモリを過度に消費させる可能性があります。この問題には、バージョン 2.0.7 および 4.15.5 でパッチが適用されています。
    (CVE-2024-28176)

  - jose パッケージは、Javascript オブジェクト署名および暗号化標準セットの実装を提供することを目指しています。攻撃者は、Decrypt や DecryptMulti による解凍の際に、大量のメモリと CPU を使用させる圧縮データを含んだ JWE を送信する可能性があります。解凍されたデータが 250kB または圧縮サイズの 10x のいずれか大きい方を超える場合、これらの関数はエラーを返すように修正されました。この脆弱性はバージョン 4.0.1、3.0.3、および 2.6.3 でパッチが適用されています。(CVE-2024-28180)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2024-3827アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [1.33.7-2.0.1]
    - nmap-ncat 要件をドロップし、ignore-socket テストケースをスキップ [Orabug: 34117178]

    [2:1.33.7-2]
    - https://github.com/containers/buildah/tree/release-1.33(https://github.com/containers/buildah/commit/997beea の最新コンテンツに更新してください)
    - 解決 4: RHEL-28731

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、6.8.1.5 より前です。したがって、NXSA-AOS-6.8.1.5 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Squashfs-Tools 4.5の unsquash-2.c の squashfs_opendir により、ディレクトリトラバーサルが発生します。これは、CVE-2021-40153とは異なる脆弱性です。ファイルシステムの同じファイル名にシンボリックリンクやコンテンツを含むように細工された squashfs ファイルシステムにより、unsquashfs が最初に予期されたディレクトリの外部を指すシンボリックリンクを作成し、その後の書き込み操作により、ファイルシステムの他の場所でシンボリックリンクを介して unsquashfs プロセスが書き込みを行う可能性があります。(CVE-2021-41072)

  - urllib3 は、Python 用のユーザーフレンドリーな HTTP クライアントライブラリです。urllib3 では「Cookie」HTTP ヘッダーを特別に扱ったり、HTTP でクッキーを管理するためのヘルパーを提供したりしないため、これはユーザーの責任となります。
    ただし、ユーザーがリダイレクトを明示的に無効にしない場合、ユーザーが「Cookie」ヘッダーを指定し、HTTP リダイレクトを介して知らないうちに別のオリジンに情報を漏洩する可能性があります。この問題は、urllib3 バージョン 1.26.17 または 2.0.5 でパッチ済みです。(CVE-2023-43804)

  - 例外条件の不適切な処理、Apache Tomcat での制御されていないリソース消費の脆弱性。HTTP/2 ストリームを処理する際、Tomcat は場合によっては過剰な HTTP ヘッダーを適切に処理していませんでした。これにより、アクティブな HTTP/2 ストリームのカウントミスが発生し、不適切な無限タイムアウトの使用につながり、本来クローズされるべき接続がオープンのままになる可能性がありました。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.0-M20 まで、10.1.0-M1 から 10.1.24 まで、9.0.0-M1 から 9.0.89 まで。次のバージョンは、CVE の作成時に EOL でしたが、影響を受けることが知られています 8.5.0 から 8.5.100。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.0-M21、10.1.25 または 9.0.90 へのアップグレードをお勧めします。(CVE-2024-34750)

  - 65.5.1以前の Python Packaging Authority (PyPA) setuptools では、リモート攻撃者が、細工されたパッケージまたはカスタム PackageIndex ページの HTML を介して、サービス拒否を引き起こす可能性があります。package_index.py に正規表現のサービス拒否 (ReDoS) があります。(CVE-2022-40897)

  - cryptography は、Python 開発者向けに暗号のプリミティブとレシピを公開するために設計されたパッケージです。影響を受けるバージョンでは、「Cipher.update_into」はバッファプロトコルを実装する Python オブジェクトを受け入れますが、変更不可のバッファのみを提供します。これにより、変更不可のオブジェクト (「bytes」など) を変更できるようになり、Python の基本的なルールに違反し、出力が破損する可能性があります。これにより、例外が正しく発生するようになりました。この問題は、もともと cryptography 1.8で「update_into」が導入されて以来存在しています。
    (CVE-2023-23931)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2024-5294 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-28176 の修正のバックポート。解決: RHEL-28719

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2024-9181アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [14-1]
    - jose-14 upstream バージョンをリベース。解決: #RHEL-38079

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRockyLinux 8ホストには、RLSA-2024:5294アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * jose: リソースの枯渇 (CVE-2024-28176)

    * jose: 制御されていない CPU 消費によるサービス拒否 (CVE-2023-50967)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、7.0 より前です。したがって、NXSA-AOS-7.0 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Squashfs-Tools 4.5の unsquash-2.c の squashfs_opendir により、ディレクトリトラバーサルが発生します。これは、CVE-2021-40153とは異なる脆弱性です。ファイルシステムの同じファイル名にシンボリックリンクやコンテンツを含むように細工された squashfs ファイルシステムにより、unsquashfs が最初に予期されたディレクトリの外部を指すシンボリックリンクを作成し、その後の書き込み操作により、ファイルシステムの他の場所でシンボリックリンクを介して unsquashfs プロセスが書き込みを行う可能性があります。(CVE-2021-41072)

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 例外条件の不適切な処理、Apache Tomcat での制御されていないリソース消費の脆弱性。HTTP/2 ストリームを処理する際、Tomcat は場合によっては過剰な HTTP ヘッダーを適切に処理していませんでした。これにより、アクティブな HTTP/2 ストリームのカウントミスが発生し、不適切な無限タイムアウトの使用につながり、本来クローズされるべき接続がオープンのままになる可能性がありました。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.0-M20 まで、10.1.0-M1 から 10.1.24 まで、9.0.0-M1 から 9.0.89 まで。次のバージョンは、CVE の作成時に EOL でしたが、影響を受けることが知られています 8.5.0 から 8.5.100。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.0-M21、10.1.25 または 9.0.90 へのアップグレードをお勧めします。(CVE-2024-34750)

  - libndp に脆弱性が見つかりました。この欠陥により、悪意のあるローカルユーザーが無効な形式の IPv6 ルーター広告パケットを送信することで、NetworkManager でバッファオーバーフローを引き起こす可能性があります。この問題は、libndp がルートの長さの情報を正しく検証していないために発生しました。(CVE-2024-5564)

  - 65.5.1以前の Python Packaging Authority (PyPA) setuptools では、リモート攻撃者が、細工されたパッケージまたはカスタム PackageIndex ページの HTML を介して、サービス拒否を引き起こす可能性があります。package_index.py に正規表現のサービス拒否 (ReDoS) があります。(CVE-2022-40897)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
194565	Fedora 40 : apptainer (2024-560a7aca85)	Nessus	Fedora Local Security Checks	2024/4/29	2024/11/14	medium
194609	Fedora 40 : podman-tui (2024-831bad8f8f)	Nessus	Fedora Local Security Checks	2024/4/29	2024/11/14	medium
200390	Oracle Linux 9 : buildah (ELSA-2024-3827)	Nessus	Oracle Linux Local Security Checks	2024/6/12	2025/9/9	medium
206720	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.8.1.5)	Nessus	Misc.	2024/9/6	2025/9/1	high
205534	Oracle Linux 8: jose (ELSA-2024-5294)	Nessus	Oracle Linux Local Security Checks	2024/8/14	2025/9/9	high
211557	Oracle Linux 9 : jose (ELSA-2024-9181)	Nessus	Oracle Linux Local Security Checks	2024/11/19	2025/9/11	high
235524	RockyLinux 8joseRLSA-2024:5294	Nessus	Rocky Linux Local Security Checks	2025/5/7	2025/5/7	high
212124	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-7.0)	Nessus	Misc.	2024/12/6	2025/9/1	medium

偵測

搜尋 Plugin

medium

medium

medium

high

high

high

high

medium