Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Jetty は、Java ベースのウェブサーバーおよびサーブレットエンジンです。バージョン 9.4.21 から 9.4.51、10.0.15、および 11.0.15 は、弱い認証の脆弱性が存在します。もし、Jetty の「OpenIdAuthenticator」がネスト化されたオプションの「LoginService」を使用し、その「LoginService」がすでに認証されているユーザーを取り消すことを決定した場合でも、現在のリクエストはそのユーザーを認証済みとして扱います。その後、認証情報はセッションからクリアされるため、その後のリクエストは認証済みとしては扱われません。そのため、以前に認証されたセッションのリクエストが、「LoginService」によって拒否された後に、認証をバイパスする可能性があります。これは、ネスト化された「LoginService」を設定し、その「LoginService」が以前に認証されたユーザーを拒否できる jetty-openid の使用に影響を与えます。バージョン 9.4.52、10.0.16、および 11.0.16 では、この問題に対するパッチが用意されています。(CVE-2023-41900)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-41900

medium Nessus プラグイン ID 258163

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Aug 5, 2026, 6:51 AM Detection (updated detection logic) Plugin Feed: 202608050651
バージョン 1.2 Jul 13, 2026, 1:10 PM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:U/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:U/RC:C") Detection (updated detection logic) Plugin Feed: 202607131310
バージョン 1.1 Aug 31, 2025, 9:16 AM New Plugin Feed: 202508310916