Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Traffic Server 中不受控制的资源消耗漏洞。此问题影响 Apache Traffic Server： from 9.0.0 through 9.1.13， from 10.0.010.1.2through . 建议用户升级到修复了此问题的版本 9.1.14 或 10.1.3。(CVE-2026-59173)

  - 某些 HTTP/2 服务器实施存在拒绝服务 （DoS） 漏洞，其在流控制停止的情况下缓冲响应数据时，未能充分限制资源消耗。
    未经认证的远程攻击者可使用标准流控制参数（例如 SETTINGS_INITIAL_WINDOW_SIZE = 0）阻止多个同步请求流的出站数据，从而触发内存耗尽和服务中断。（CVE-2026-59173）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache 流量伺服器中存在不受控制的資源消耗弱點。此問題影響 Apache 流量伺服器： from 9.0.0 through 9.1.13， from 10.0.0 through 10.1.2。建議使用者升級至 9.1.14 或 10.1.3 版，即可修正此問題。(CVE-2026-59173)

  - 某些 HTTP/2 伺服器實作中存在拒絕服務 （DoS） 弱點，這些弱點在流量控制停滯條件下緩衝回應資料時，無法充分限制資源消耗。
    遠端未經驗證的攻擊者可以使用標準流量控制參數 （例如 SETTINGS_INITIAL_WINDOW_SIZE = 0） 來停止多個同時要求串流的傳出資料，以觸發記憶體耗盡和服務中斷。（CVE-2026-59173）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、3caa3b4b-d2ab-11f1-bae2-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Apache Traffic Server プロジェクトは、 10.1.1 から 10.1.5 までのリリースで修正された問題に関するセキュリティアドバイザリを公開しました。これには、無効な形式のリクエストと応答によるリクエストスマグリングやキャッシュポイズニング、メモリ破損、ポートが構築する実験的なプラグイン(IMAGEMAGICKオプション付きのtsmemcache、wasm、magick)での認証されていないアクセスが含まれます。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-bb8dc1e5b6 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    解決 CVE-2026-59173 - フロー制御の停止による HTTP/2 の DoS 脆弱性

    Apache Traffic Server 9.2.14 #12910 に関する追加の変更 - 408/504 タイムアウトを引き起こす接続レベルのウィンドウの不一致を修正します #13266 - 9.2.x ブランチの Claude Code プロジェクトガイドを追加します #13267 - [9.2.x] バックポートフォーマットスクリプトが #13377 を修正します - 9.2.x:http2:スケジュールされたイベントを追跡します

    Apache Traffic Server 10.1.3 #12192 の追加変更 - チャンク解析エラーで 400 を返す #12733 - TSHttpTxnServerAddrSet の再試行ロジックを修正(問題 #12611) #12854 - 静的破壊 #12855 中の LoadedPlugins::remove クラッシュを修正 - run-plugin 相対パス解決 #12857 header_rewriteを修正 - Fedora 43/Python 3.14 #12943 と autest の互換性を修正 - BoringSSL #12959 との非互換性に対処 - 未処理の VC イベントでの HttpSM::tunnel_handler のクラッシュを修正 #12972 - ServerAddrSet #12990 でのキャッシュ再試行アサートを修正します - プロキシ検証機能 v3.0.0 #13008 への更新 - cmake:bssl プローブ #13020 GENERAL_NAME制限 - 最新のプロキシ検証機能チェックで AuTests をアラインします(#12986) #13025 - hrw:geodb ファイルのロードを再修正します #13033 - tests/gold_tests/headers tests:ATSReplayTest #13113 を使用します - slice:use-after-free #13114 によって引き起こされるクラッシュを修正します - update_size_and_time_stats #13138 の bg フィルティアダウンクラッシュを修正します - キャッシュ代替ベクトルデタッチ #13144 を削除します- XPACK 相対インデックスアンダーフローを修正 #13162 - hrw:プラグイン演算子 #13177 実行のインデックスバグを修正します - records.yaml レコードドリフト #13178 を修正します - 10.1.x:proxy.config.dns.search_default_domains:2 つの #13182 を許可します - パラレルの AuTest ヘルパーを安定化します #13192 - yaml-cpp-0.9.0 #13193 - GCC 16:正規表現ヘッダー整数に #13198 が含まれます - Fedora 44 テスト修正 #13200 - Proxy Verifier メタデータ #13217 の信頼できる唯一の情報源 - Proxy Verifier v3.1.3 #13218 - hdrHeap/hdrStrHeap アロケータの不使用メトリックアンダーフローを修正 #13220 - 44 AuTest ヘルパー #13223 の不安定なFedoraを修正します - 一致しない sINT/dINT ログフィールドタイプを修正します #13252 - cache:クリア #13256 後の最初の起動で、ボリュームごとの設定を適用します - より #13261 一致しないログフィールドタイプを修正します - header_rewrite:URL エラーメッセージの #13263 を改善します - CacheVC::scanObject #13264 で境界検査を修正します - 動的な ENGINE #13280 なしで OpenSSL を処理します - Fedora C++20 CI #13293 でプローブを有効にします- ProxyProtocol:NetVConnection のpp_infoリサイクル #13294 のヒープを解放します - 保留中の HostDB DNSキュー削除競合 #13295 を修正します - トンネルセットアップ #13297 リクエスト後のサーバーエントリクリーンアップを修正します - 10.1.x: sni.yaml セッションチケットオーバーライドを追加します(#13006) #13303 - header_rewrite: set-body-from #13307 の漏洩および切り捨てを修正します - dns:SRV ベクトル漏洩 #13318 を修正するために、解放中の HostEnt を破壊します - TLS: 証明書ロードおよび OCSP ステープリング #13325 のメモリリークを修正します - HttpSM.cc: キャッシュ読み取り終了マイルストーンの順序 #13336 を修正します - 10.1.x:VC #13365 を書き込みせずにリダイレクトされたキャッシュ書き込みを修正します - 10.1.x:USDT:STATE_ENTER #13366 の名前を正規化します - 10.1.x:リマップタイムでの if/endif 内部の set-status クラッシュを修正します #13387 - HTTP/2 ストリーム作成でのmax_active_streams_inのハードエンフォース


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Traffic Server の制御されないリソース消費の脆弱性。この問題は、 9.0.0 から 9.1.13、 10.0.0 から 10.1.2 の Apache Traffic Server に影響を与えます。ユーザーには、この問題を修正したバージョンであるバージョン 9.1.14 または 10.1.3 へのアップグレードをお勧めします。(CVE-2026-59173)

  - サービス拒否(DoS)の脆弱性が一部のHTTP/2サーバー実装にあり、停止したフロー制御状態で応答データをバッファリングするとき、リソース消費を適切に制限できません。
    リモートの認証されていない攻撃者が、SETTINGS_INITIAL_WINDOW_SIZE = 0 などの標準フロー制御パラメーターを使用することで、メモリ枯渇とサービスの割り込みを発生させ、同時に複数のリクエストストリームのアウトバウンドデータを停止させる可能性があります。(CVE-2026-59173)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-ddaabe38ab のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    解決 CVE-2026-59173 - フロー制御の停止による HTTP/2 の DoS 脆弱性

    Apache Traffic Server 9.2.14 #12910 に関する追加の変更 - 408/504 タイムアウトを引き起こす接続レベルのウィンドウの不一致を修正します #13266 - 9.2.x ブランチの Claude Code プロジェクトガイドを追加します #13267 - [9.2.x] バックポートフォーマットスクリプトが #13377 を修正します - 9.2.x:http2:スケジュールされたイベントを追跡します

    Apache Traffic Server 10.1.3 #12192 の追加変更 - チャンク解析エラーで 400 を返す #12733 - TSHttpTxnServerAddrSet の再試行ロジックを修正(問題 #12611) #12854 - 静的破壊 #12855 中の LoadedPlugins::remove クラッシュを修正 - run-plugin 相対パス解決 #12857 header_rewriteを修正 - Fedora 43/Python 3.14 #12943 と autest の互換性を修正 - BoringSSL #12959 との非互換性に対処 - 未処理の VC イベントでの HttpSM::tunnel_handler のクラッシュを修正 #12972 - ServerAddrSet #12990 でのキャッシュ再試行アサートを修正します - プロキシ検証機能 v3.0.0 #13008 への更新 - cmake:bssl プローブ #13020 GENERAL_NAME制限 - 最新のプロキシ検証機能チェックで AuTests をアラインします(#12986) #13025 - hrw:geodb ファイルのロードを再修正します #13033 - tests/gold_tests/headers tests:ATSReplayTest #13113 を使用します - slice:use-after-free #13114 によって引き起こされるクラッシュを修正します - update_size_and_time_stats #13138 の bg フィルティアダウンクラッシュを修正します - キャッシュ代替ベクトルデタッチ #13144 を削除します- XPACK 相対インデックスアンダーフローを修正 #13162 - hrw:プラグイン演算子 #13177 実行のインデックスバグを修正します - records.yaml レコードドリフト #13178 を修正します - 10.1.x:proxy.config.dns.search_default_domains:2 つの #13182 を許可します - パラレルの AuTest ヘルパーを安定化します #13192 - yaml-cpp-0.9.0 #13193 - GCC 16:正規表現ヘッダー整数に #13198 が含まれます - Fedora 44 テスト修正 #13200 - Proxy Verifier メタデータ #13217 の信頼できる唯一の情報源 - Proxy Verifier v3.1.3 #13218 - hdrHeap/hdrStrHeap アロケータの不使用メトリックアンダーフローを修正 #13220 - 44 AuTest ヘルパー #13223 の不安定なFedoraを修正します - 一致しない sINT/dINT ログフィールドタイプを修正します #13252 - cache:クリア #13256 後の最初の起動で、ボリュームごとの設定を適用します - より #13261 一致しないログフィールドタイプを修正します - header_rewrite:URL エラーメッセージの #13263 を改善します - CacheVC::scanObject #13264 で境界検査を修正します - 動的な ENGINE #13280 なしで OpenSSL を処理します - Fedora C++20 CI #13293 でプローブを有効にします- ProxyProtocol:NetVConnection のpp_infoリサイクル #13294 のヒープを解放します - 保留中の HostDB DNSキュー削除競合 #13295 を修正します - トンネルセットアップ #13297 リクエスト後のサーバーエントリクリーンアップを修正します - 10.1.x: sni.yaml セッションチケットオーバーライドを追加します(#13006) #13303 - header_rewrite: set-body-from #13307 の漏洩および切り捨てを修正します - dns:SRV ベクトル漏洩 #13318 を修正するために、解放中の HostEnt を破壊します - TLS: 証明書ロードおよび OCSP ステープリング #13325 のメモリリークを修正します - HttpSM.cc: キャッシュ読み取り終了マイルストーンの順序 #13336 を修正します - 10.1.x:VC #13365 を書き込みせずにリダイレクトされたキャッシュ書き込みを修正します - 10.1.x:USDT:STATE_ENTER #13366 の名前を正規化します - 10.1.x:リマップタイムでの if/endif 内部の set-status クラッシュを修正します #13387 - HTTP/2 ストリーム作成でのmax_active_streams_inのハードエンフォース


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-bb8dc1e5b6 advisory.

    Resolves CVE-2026-59173 - DoS vulnerability in HTTP/2 via stalled flow-control

    Additional Changes with Apache Traffic Server 9.2.14       #12910 - Fix connection-level window mismatch causing 408/504 timeouts       #13266 - Add Claude Code project guide for the 9.2.x branch       #13267 - [9.2.x] Backport format scripts fixes       #13377 - 9.2.x: http2: Track scheduled events

    Additional Changes with Apache Traffic Server 10.1.3       #12192 - Return a 400 on chunk parse errors       #12733 - Fix retry logic for TSHttpTxnServerAddrSet (issue #12611)       #12854 - Fix LoadedPlugins::remove crash during static destruction       #12855 - Fix header_rewrite run-plugin relative path resolution       #12857 - Fix autest compatibility with Fedora 43 / Python 3.14       #12943 - Address incompatibility with BoringSSL       #12959 - Fix crash in HttpSM::tunnel_handler on unhandled VC events       #12972 - Fix cache retry assert on ServerAddrSet       #12990 - Update to Proxy Verifier v3.0.0       #13008 - cmake: limit GENERAL_NAME bssl probe       #13020 - Align AuTests with latest proxy-verifier checks (#12986)       #13025 - hrw: Refix loading geodb files       #13033 - tests/gold_tests/headers tests: use ATSReplayTest       #13113 - slice: Fix crash caused by use-after-free       #13114 - Fix bg fill teardown crash in update_size_and_time_stats       #13138 - Remove cache alternate vector detach       #13144 - Fix XPACK relative index underflow       #13162 - hrw: Fix an index bug in run plugin operator       #13177 - Correct records.yaml record drift       #13178 - 10.1.x: proxy.config.dns.search_default_domains: allow 2       #13182 - Stabilize parallel AuTest helpers       #13192 - yaml-cpp-0.9.0       #13193 - GCC 16: Regex header integer includes       #13198 - Fedora 44 test fixes       #13200 - Single source of truth for Proxy Verifier metadata       #13217 - Proxy Verifier v3.1.3       #13218 - Fix hdrHeap/hdrStrHeap allocator inuse metric underflow       #13220 - Fix flaky Fedora 44 AuTest helpers       #13223 - Fix mismatched sINT/dINT log field types       #13252 - cache: apply per-volume settings on first start after clear       #13256 - Fix mismatched log field types more       #13261 - header_rewrite: Improve URL Error messages       #13263 - Fix bounds check in CacheVC::scanObject       #13264 - Handle OpenSSL without dynamic ENGINE       #13280 - Enable probes in Fedora C++20 CI       #13293 - ProxyProtocol: free pp_info heap on NetVConnection recycle       #13294 - Fix pending HostDB DNS queue removal race       #13295 - Fix server entry cleanup after request tunnel setup       #13297 - 10.1.x: Add sni.yaml session ticket overrides (#13006)       #13303 - header_rewrite: Fix a leak and truncation in set-body-from       #13307 - dns: destruct HostEnt on free to fix SRV vector leak       #13318 - TLS: Fix memory leaks in cert load and OCSP stapling       #13325 - HttpSM.cc: fix cache read end milestone order       #13336 - 10.1.x: Fix redirected cache write without write VC       #13365 - 10.1.x: USDT: normalize names for STATE_ENTER       #13366 - 10.1.x: Fix set-status crash inside if/endif at remap time       #13387 - Hard-enforce max_active_streams_in at HTTP/2 stream creation


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Uncontrolled Resource Consumption vulnerability in Apache Traffic Server. This issue affects Apache     Traffic Server: from 9.0.0 through 9.1.13, from 10.0.0 through 10.1.2. Users are recommended to upgrade to     version 9.1.14 or 10.1.3, which fixes the issue. (CVE-2026-59173)

  - A denial-of-service (DoS) vulnerability exists in some HTTP/2 server implementations that fail to     adequately limit resource consumption when buffering response data under stalled flow-control conditions.
    A remote, unauthenticated attacker can trigger memory exhaustion and service interruption by using     standard flow-control parameters such as SETTINGS_INITIAL_WINDOW_SIZE = 0 to stall outbound data for     multiple simultaneous request streams. (CVE-2026-59173)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-ddaabe38ab advisory.

    Resolves CVE-2026-59173 - DoS vulnerability in HTTP/2 via stalled flow-control

    Additional Changes with Apache Traffic Server 9.2.14       #12910 - Fix connection-level window mismatch causing 408/504 timeouts       #13266 - Add Claude Code project guide for the 9.2.x branch       #13267 - [9.2.x] Backport format scripts fixes       #13377 - 9.2.x: http2: Track scheduled events

    Additional Changes with Apache Traffic Server 10.1.3       #12192 - Return a 400 on chunk parse errors       #12733 - Fix retry logic for TSHttpTxnServerAddrSet (issue #12611)       #12854 - Fix LoadedPlugins::remove crash during static destruction       #12855 - Fix header_rewrite run-plugin relative path resolution       #12857 - Fix autest compatibility with Fedora 43 / Python 3.14       #12943 - Address incompatibility with BoringSSL       #12959 - Fix crash in HttpSM::tunnel_handler on unhandled VC events       #12972 - Fix cache retry assert on ServerAddrSet       #12990 - Update to Proxy Verifier v3.0.0       #13008 - cmake: limit GENERAL_NAME bssl probe       #13020 - Align AuTests with latest proxy-verifier checks (#12986)       #13025 - hrw: Refix loading geodb files       #13033 - tests/gold_tests/headers tests: use ATSReplayTest       #13113 - slice: Fix crash caused by use-after-free       #13114 - Fix bg fill teardown crash in update_size_and_time_stats       #13138 - Remove cache alternate vector detach       #13144 - Fix XPACK relative index underflow       #13162 - hrw: Fix an index bug in run plugin operator       #13177 - Correct records.yaml record drift       #13178 - 10.1.x: proxy.config.dns.search_default_domains: allow 2       #13182 - Stabilize parallel AuTest helpers       #13192 - yaml-cpp-0.9.0       #13193 - GCC 16: Regex header integer includes       #13198 - Fedora 44 test fixes       #13200 - Single source of truth for Proxy Verifier metadata       #13217 - Proxy Verifier v3.1.3       #13218 - Fix hdrHeap/hdrStrHeap allocator inuse metric underflow       #13220 - Fix flaky Fedora 44 AuTest helpers       #13223 - Fix mismatched sINT/dINT log field types       #13252 - cache: apply per-volume settings on first start after clear       #13256 - Fix mismatched log field types more       #13261 - header_rewrite: Improve URL Error messages       #13263 - Fix bounds check in CacheVC::scanObject       #13264 - Handle OpenSSL without dynamic ENGINE       #13280 - Enable probes in Fedora C++20 CI       #13293 - ProxyProtocol: free pp_info heap on NetVConnection recycle       #13294 - Fix pending HostDB DNS queue removal race       #13295 - Fix server entry cleanup after request tunnel setup       #13297 - 10.1.x: Add sni.yaml session ticket overrides (#13006)       #13303 - header_rewrite: Fix a leak and truncation in set-body-from       #13307 - dns: destruct HostEnt on free to fix SRV vector leak       #13318 - TLS: Fix memory leaks in cert load and OCSP stapling       #13325 - HttpSM.cc: fix cache read end milestone order       #13336 - 10.1.x: Fix redirected cache write without write VC       #13365 - 10.1.x: USDT: normalize names for STATE_ENTER       #13366 - 10.1.x: Fix set-status crash inside if/endif at remap time       #13387 - Hard-enforce max_active_streams_in at HTTP/2 stream creation


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 3caa3b4b-d2ab-11f1-bae2-3497f65b111b advisory.

    The Apache Traffic Server project published security advisories               for issues fixed in releases 10.1.1 through 10.1.5.  They include               request smuggling and cache poisoning through malformed requests and               responses, memory corruption, and unauthenticated access in the               experimental plugins, which the port builds (tsmemcache, wasm, and               magick with the IMAGEMAGICK option).

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
327669	Linux Distros 未修补的漏洞：CVE-2026-59173	Nessus	Misc.	2026/7/17	2026/9/2	high
327669	Linux Distros 未修補弱點：CVE-2026-59173	Nessus	Misc.	2026/7/17	2026/9/2	high
373479	FreeBSD:trafficserver -- 複数の脆弱性(3caa3b4b-d2ab-11f1-bae2-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/10/29	2026/10/29	critical
330050	Fedora 44:trafficserver(2026-bb8dc1e5b6)	Nessus	Fedora Local Security Checks	2026/7/26	2026/7/26	high
327669	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59173	Nessus	Misc.	2026/7/17	2026/9/2	high
330082	Fedora 43:trafficserver(2026-ddaabe38ab)	Nessus	Fedora Local Security Checks	2026/7/27	2026/7/27	high
330050	Fedora 44 : trafficserver (2026-bb8dc1e5b6)	Nessus	Fedora Local Security Checks	2026/7/26	2026/7/26	high
327669	Linux Distros Unpatched Vulnerability : CVE-2026-59173	Nessus	Misc.	2026/7/17	2026/9/2	high
330082	Fedora 43 : trafficserver (2026-ddaabe38ab)	Nessus	Fedora Local Security Checks	2026/7/27	2026/7/27	high
373479	FreeBSD : trafficserver -- multiple vulnerabilities (3caa3b4b-d2ab-11f1-bae2-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/10/29	2026/10/29	critical

偵測

搜尋 Plugin

high

high

critical

high

high

high

high

high

high

critical