Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - NFSD新しい time_deleg FATTR4 属性のアクションを定義します。NFSv4 クライアントは、これらの新しい属性に対して正当な GETATTR リクエストを送信しません。これは、これらが CB_GETATTR および SETATTR でのみ使用されるように意図されているためです。
    しかし、NFSD は、これらの属性をクエリする GETATTR リクエストを確認した場合、クラッシュ以外のことを行う必要があります。RFC 8881 セクション 18.7.3 状態: > サーバーは、 > ターゲットファイルシステムのサーバーによって属性がサポートされている場合、クライアント > がリクエストする各属性の値を返さなければなりません。サーバーがターゲットファイルシステムで特定の > 属性をサポートしない場合、 > 属性値を返してはいけません。また、結果の > ビットマップで属性ビットを設定してはなりません。サーバーは、ターゲットで > 属性をサポートしているが値を取得できない場合、エラーを返す必要があります。その場合、 > 属性値は返されません。さらに、RFC 9754 セクション 5 で次のように記述されています > これらの新しい属性は GETATTR、VERIFY、 > および NVERIFY で使用するには無効であり、適切な委任を保持するクライアントによってのみ CB_GETATTR および SETATTR で使用できます。そのため、仕様によって必須の特定のサーバー応答はないようです。GETATTR 経由でこれらの属性をクエリするのは無効であるというガイダンスを利用します。NFSD は nfserr_inval を返し、リクエストは完全に失敗します。CVE-2025-40326

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-40326

medium Nessus プラグイン ID 278685

バージョン 1.1