リモートのDebian 9ホストには、dla-2786のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nghttp2バージョン>= 1.10.0およびnghttp2 <= v1.31.0には、ALTSVCフレーム処理における不適切な入力検証CWE-20の脆弱性が含まれているため、サービス拒否につながるセグメンテーション違反が発生する可能性があります。
    この攻撃は、ネットワーククライアント経由で悪用される可能性があるようです。この脆弱性は1.31.1以降では修正されていると見られます。（CVE-2018-1000168）

  - バージョン1.41.0より前のnghttp2では、過大なHTTP/2 SETTINGSフレームペイロードが原因でサービス拒否が発生します。
    概念実証攻撃は、悪意のあるクライアントが14,400バイト（2400個の設定エントリ）の長さのSETTINGSフレームを繰り返し構築します。この攻撃により、CPUの使用率が100％に急上昇します。nghttp2 v1.41.0で、この脆弱性が修正されます。この脆弱性には回避策があります。nghttp2_on_frame_recv_callbackコールバックを実装し、受信したフレームがSETTINGSフレームで設定エントリの数が大きい（32を超える）場合は、接続をドロップします。（CVE-2020-11080）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-2786-1：nghttp2 - LTSセキュリティ更新

high Nessus プラグイン ID 154195

バージョン 1.3