Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Gets Encrypt Client および ACME ライブラリを Go で記述しますLego。バージョン 4.25.1 およびそれ以前では、github.com/go-acme/lego/v4/acme/api パッケージlego ライブラリおよびlego cli も同様に、ACME クライアントとして CA と通信する際に HTTPS を強制しません。暗号化されていない HTTP で ACME チャレンジを解決する http-01 チャレンジとは異なり、クライアントが ACME 機能を実行するために CA と通信する際に、ACME プロトコルは HTTPS を必要とします。しかし、ライブラリは、元の検出 URL (ライブラリユーザーによって設定される) と、ディレクトリおよび順序オブジェクトの CA によって返される後続のアドレスの両方で、HTTPS を強制できません。ユーザーが HTTP URL または CA を入力してエンドポイントを誤って設定した場合、プロトコルオペレーションは HTTPS ではなく HTTP 経由で発生します。これにより、アカウントやリクエスト識別子などのリクエスト/応答の詳細がネットワーク攻撃者に漏えいすることで、プライバシーが侵害されます。これはバージョン4.25.2で修正されました。(CVE-2025-54799 )

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-54799

medium Nessus プラグイン ID 253527

バージョン 1.2

バージョン 1.1

バージョン 1.2 Sep 1, 2025, 10:01 PM Detection (updated detection logic) Plugin metadata Plugin Feed: 202509012201
バージョン 1.1 Aug 22, 2025, 7:29 AM New Plugin Feed: 202508220729