There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - zip is a zip library for Rust that supports reading and writing simple ZIP files. From 0.6.0 until 9.0.0,
    the AES entry reader in src/aes.rs verifies its HMAC only when the attacker-controlled data counter
    reaches zero. If the underlying bounded reader reaches the real end of the archive while data_remaining is
    still positive, or if an encrypted entry has no payload, the reader can return a clean end of stream
    without reading and comparing the authentication tag. Applications using by_index_decrypt,
    by_name_decrypt, by_path_decrypt, or password-enabled by_index_with_options can therefore accept modified
    plaintext without an authentication error. This issue is fixed in version 9.0.0. (CVE-2026-115906)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - zip 是一個適用於 Rust 的 zip 函式庫，支援讀取和寫入簡單的 ZIP 檔案。從 0.6.0 直到 9.0.0，src/aes.rs 中的 AES 項目讀取器只有在攻擊者控制的資料計數器達到零時才會驗證其 HMAC。如果基礎有界讀取器到達封存的實際結尾，而data_remaining仍為正數，或加密項目沒有承載，則讀取器可以傳回乾淨的串流結尾，而無需讀取和比較驗證標籤。因此，使用 by_index_decrypt、by_name_decrypt、by_path_decrypt 或已啟用密碼的by_index_with_options的應用程式可以接受修改後的純文字，而不會發生驗證錯誤。9.0.0 版已修正此問題。(CVE-2026-115906)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - zip 是适用于 Rust 的 zip 库，支持读取和写入简单的 ZIP 文件。从 0.6.0 直到 9.0.0，src/aes.rs 中的 AES 条目读取器仅当攻击者控制的数据计数器达到零时才验证其 HMAC。如果底层绑定阅读器到达存档的真正末端，而data_remaining仍然是正数，或者如果加密条目没有负载，则阅读器可以在不读取和比较身份验证标签的情况下返回干净的流结尾。因此，使用 by_index_decrypt、by_name_decrypt、by_path_decrypt 或启用了密码的by_index_with_options的应用程序可以接受修改过的明文，而不会出现认证错误。此问题已在 9.0.0 版本中修复。(CVE-2026-115906)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - zip は、単純な ZIP ファイルの読み書きをサポートする Rust 用の zip ライブラリです。0.6.0から9.0.0まで、src/aes.rs の AES エントリリーダーは、攻撃者が制御するデータカウンターがゼロに達した場合にのみ、その HMAC を検証します。data_remainingがまだ正である間に、下層のバウンドリーダーがアーカイブの実際の末尾に到達した場合、または暗号化されたエントリにペイロードがない場合、リーダーは認証タグを読み取ったり比較したりせずにストリームのクリーンエンドを返すことができます。したがって、by_index_decrypt、by_name_decrypt、by_path_decrypt、またはパスワードが有効なby_index_with_optionsを使用するアプリケーションは、認証エラーなしに変更された平文を受け入れることができます。この問題はバージョン 9.0.0 で修正されています。(CVE-2026-115906)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - zip is a zip library for Rust that supports reading and writing simple ZIP files. From 0.6.0 until 9.0.0,     the AES entry reader in src/aes.rs verifies its HMAC only when the attacker-controlled data counter     reaches zero. If the underlying bounded reader reaches the real end of the archive while data_remaining is     still positive, or if an encrypted entry has no payload, the reader can return a clean end of stream     without reading and comparing the authentication tag. Applications using by_index_decrypt,     by_name_decrypt, by_path_decrypt, or password-enabled by_index_with_options can therefore accept modified     plaintext without an authentication error. This issue is fixed in version 9.0.0. (CVE-2026-115906)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
478191	Chainguard: verus: security update to 0.2026.10.18-r1	Tenable Cloud Security	Chainguard Local Security Checks	2026/11/2	2026/11/2	medium
478191	Chainguard: verus: security update to 0.2026.10.18-r1	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	2026/11/2	2026/11/2	medium
372216	Linux Distros 未修補弱點：CVE-2026-115906	Nessus	Misc.	2026/10/27	2026/10/28	medium
372216	Linux Distros 未修补的漏洞：CVE-2026-115906	Nessus	Misc.	2026/10/27	2026/10/28	medium
372216	Linux Distros のパッチ未適用の脆弱性: CVE-2026-115906	Nessus	Misc.	2026/10/27	2026/10/28	medium
372216	Linux Distros Unpatched Vulnerability : CVE-2026-115906	Nessus	Misc.	2026/10/27	2026/10/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium