The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When using IPAuthenticationProvider in ZooKeeper Admin Server there is a possibility of Authentication     Bypass by Spoofing -- this only impacts IP based authentication implemented in ZooKeeper Admin Server.
    Default configuration of client's IP address detection in IPAuthenticationProvider, which uses HTTP     request headers, is weak and allows an attacker to bypass authentication via spoofing client's IP address     in request headers. Default configuration honors X-Forwarded-For HTTP header to read client's IP address.
    X-Forwarded-For request header is mainly used by proxy servers to identify the client and can be easily     spoofed by an attacker pretending that the request comes from a different IP address. Admin Server     commands, such as snapshot and restore arbitrarily can be executed on successful exploitation which could     potentially lead to information leakage or service availability issues. Users are recommended to upgrade     to version 3.9.3, which fixes this issue. (CVE-2024-51504)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Apache ZooKeeper listening on the remote host is 3.9.x prior to 3.9.3. It is, therefore, affected by an authentication bypass vulnerability:

  - When using IPAuthenticationProvider in ZooKeeper Admin Server there is a possibility of Authentication     Bypass by Spoofing -- this only impacts IP based authentication implemented in ZooKeeper Admin Server.     Default configuration of client's IP address detection in IPAuthenticationProvider, which uses HTTP     request headers, is weak and allows an attacker to bypass authentication via spoofing client's IP address     in request headers. Default configuration honors X- Forwarded-For HTTP header to read client's IP     address. X-Forwarded-For request header is mainly used by proxy servers to identify the client and can be     easily spoofed by an attacker pretending that the request comes from a different IP address. Admin Server     commands, such as snapshot and restore arbitrarily can be executed on successful exploitation which could     potentially lead to information leakage or service availability issues. Users are recommended to upgrade     to version 3.9.3, which fixes this issue. (CVE-2024-51504)     Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストでリッスンしている Apache ZooKeeper のバージョンは 3.9.3 より前の 3.9.x です。したがって、認証バイパスの脆弱性の影響を受けます。

  - ZooKeeper 管理サーバーで IPAuthenticationProvider を使用する場合、なりすましによる認証バイパスの可能性があります。この影響を受けるのは、ZooKeeper 管理サーバーに実装されている IP ベースの認証のみです。HTTP リクエストヘッダーを使用する IPAuthenticationProvider におけるクライアント IP アドレス検出のデフォルト構成は脆弱であり、攻撃者がリクエストヘッダーでクライアントの IP アドレスを偽装することで認証をバイパスする可能性があります。デフォルトの設定では、X-Forwarded-For HTTP ヘッダーを使用してクライアントの IP アドレスを読み取ります。X-Forwarded-For リクエストヘッダーは、主にプロキシサーバーによってクライアントを識別するために使用され、リクエストが別の IP アドレスから送信されているように装う攻撃者によって簡単に偽装される可能性があります。悪用に成功すると、スナップショットや復元などの管理サーバーコマンドが任意に実行される可能性があり、情報漏洩やサービスの可用性の問題につながる可能性があります。ユーザーは、この問題が修正済みの 3.9.3 にアップグレードすることが推奨されています。(CVE-2024-51504) Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上接聽的 Apache ZooKeeper 版本為 3.9.3 之前的 3.9.x 版本。因此，它會受到驗證繞過弱點影響：

  - 在 ZooKeeper 管理伺服器中使用 IPAuthenticationProvider 時，存在透過偽造進行驗證繞過的可能性。這只會影響在 ZooKeeper 管理伺服器中的 IP 型驗證。IPAuthenticationProvider 中用戶端 IP 位址偵測的預設組態依賴於 HTTP 要求標頭，這種設計較為脆弱，使攻擊者可以在要求標頭中偽造用戶端 IP 位址，進而繞過驗證。在預設組態中，會使用 X- Forwarded-For HTTP 標頭來讀取用戶端的 IP 位址。X-Forwarded-For 要求標頭主要用於在 Proxy 伺服器中識別用戶端，然而攻擊者可輕易偽造要求，使其看似來自不同的 IP 位址。若惡意利用得逞，即可任意執行 Admin Server 命令，例如快照與還原，進而導致資訊洩漏或影響服務可用性等問題。建議使用者應升級至已修正問題的 3.9.3 版本。(CVE-2024-51504) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ZooKeeper 管理サーバーで IPAuthenticationProvider を使用する場合、なりすましによる認証バイパスの可能性があります。この影響を受けるのは、ZooKeeper 管理サーバーに実装されている IP ベースの認証のみです。
    HTTP リクエストヘッダーを使用する IPAuthenticationProvider 内のクライアントの IP アドレス検出のデフォルト構成は脆弱であり、攻撃者はリクエストヘッダーでクライアントの IP アドレスを偽装することで、認証をバイパスすることが可能です。デフォルトの構成は、X-Forwarded-For HTTP ヘッダーを遵守してクライアントの IP アドレスを読み取ります。
    X-Forwarded-For リクエストヘッダーは、主にプロキシサーバーによってクライアントを識別するために使用され、リクエストが別の IP アドレスから送信されているように装う攻撃者によって簡単に偽装される可能性があります。悪用に成功すると、スナップショットや復元などの管理サーバーコマンドが任意に実行される可能性があり、情報漏洩やサービスの可用性の問題につながる可能性があります。ユーザーには、この問題を修正したバージョン 3.9.3 へのアップグレードをお勧めします。(CVE-2024-51504)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ZooKeeper Admin Server 中使用 IPAuthenticationProvider 时，欺骗可能会造成身份验证绕过 -- 这仅会影响在 ZooKeeper Admin Server 中实现的基于 IP 的身份验证。
    IPAuthenticationProvider 中客户端 IP 地址检测的默认配置（使用 HTTP 请求标头）安全漏洞，可允许攻击者通过伪造请求标头中的客户端 IP 地址绕过认证。默认配置遵从 X-Forwarded-For HTTP 标头以读取客户端的 IP 地址。
    X-Forwarded-For 请求标头主要由代理服务器用于识别客户端，并且可以轻松被攻击者伪装为请求来自其他 IP 地址。成功利用此漏洞时可执行任意 snapshot 和 restore arbitrily 等 Admin Server 命令，这可能导致信息泄漏或服务可用性问题。建议用户升级为已修复此问题的 3.9.3 版。(CVE-2024-51504)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Apache ZooKeeper 版本为 3.9.3 之前的版本 3.9.x。因此，它会受到身份验证绕过漏洞的影响：

  - 在 ZooKeeper Admin Server 中使用 IPAuthenticationProvider 时，欺骗可能会造成身份验证绕过 -- 这仅会影响在 ZooKeeper Admin Server 中实现的基于 IP 的身份验证。IPAuthenticationProvider 中客户端 IP 地址检测的默认配置（使用 HTTP 请求标头）安全漏洞，可允许攻击者通过伪造请求标头中的客户端 IP 地址绕过认证。默认配置遵从 X- Forwarded-For HTTP 标头读取客户端的 IP 地址。X-Forwarded-For 请求标头主要由代理服务器用于识别客户端，并且可以轻松被攻击者伪装为请求来自其他 IP 地址。成功利用此漏洞时可执行任意 snapshot 和 restore arbitrily 等 Admin Server 命令，这可能导致信息泄漏或服务可用性问题。建议用户升级至可修复此问题的版本 3.9.3。(CVE-2024-51504) 请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 ZooKeeper 管理伺服器中使用 IPAuthenticationProvider 時，存在透過偽造進行驗證繞過的可能性。這只會影響在 ZooKeeper 管理伺服器中的 IP 型驗證。
    IPAuthenticationProvider 中用戶端 IP 位址偵測的預設組態依賴於 HTTP 要求標頭，這種設計較為脆弱，使攻擊者可以在要求標頭中偽造用戶端 IP 位址，進而繞過驗證。預設組態接受 X-Forwarded-For HTTP 標頭讀取用戶端的 IP 位址。
    X-Forwarded-For 要求標頭主要用於在 Proxy 伺服器中識別用戶端，然而攻擊者可輕易偽造要求，使其看似來自不同的 IP 位址。若惡意利用得逞，即可任意執行 Admin Server 命令，例如快照與還原，進而導致資訊洩漏或影響服務可用性等問題。建議使用者升級至已修正此問題 3.9.3 版。(CVE-2024-51504)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
256499	Linux Distros Unpatched Vulnerability : CVE-2024-51504	Nessus	Misc.	2025/8/27	2025/8/27	critical
210584	Apache ZooKeeper 3.9.x < 3.9.3 Authentication Bypass	Nessus	Misc.	2024/11/8	2024/11/11	critical
210584	Apache ZooKeeper 3.9.x < 3.9.3 の認証バイパス	Nessus	Misc.	2024/11/8	2024/11/11	critical
210584	Apache ZooKeeper 3.9.x < 3.9.3 驗證繞過弱點	Nessus	Misc.	2024/11/8	2024/11/11	critical
256499	Linux Distros のパッチ未適用の脆弱性: CVE-2024-51504	Nessus	Misc.	2025/8/27	2025/8/27	critical
256499	Linux Distros 未修补的漏洞：CVE-2024-51504	Nessus	Misc.	2025/8/27	2025/8/27	critical
210584	Apache ZooKeeper 3.9.x < 3.9.3 身份验证绕过漏洞	Nessus	Misc.	2024/11/8	2024/11/11	critical
256499	Linux Distros 未修補的弱點：CVE-2024-51504	Nessus	Misc.	2025/8/27	2025/8/27	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical