Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AssertJ は、Java および Java Virtual MachineJVMに対して Fluent テストのアサーションを提供します。バージョン 1.4.0 より前のバージョン 3.27.7より前の では、XML 外部エンティティXXEの脆弱性が「org.assertj.core.util.xml.XmlStringPrettyFormatter」に存在します。「toXmlDocument(String)」メソッドが「DocumentBuilderFactory」をデフォルトで初期化します。サービス拒否 (DTD や外部エンティティを無効にしないでください) このフォーマッターは、「CharSequence」値に対する「isXmlEqualTo(CharSequence)」アサーションで使用されます。アプリケーションが脆弱になるのは、「org.assertj.core.api.AbstractCharSequenceAssert」の「isXmlEqualTo(CharSequence)」または「org.assertj.core.util.xml の「xmlPrettyFormat(String)」のいずれかで信頼できない XML 入力を使用する場合のみです。 XmlStringPrettyFormatter`。信頼できない XML 入力がこれらの方法で処理された場合、攻撃者が、「file://」URI「/etc/passwd」、アプリケーション構成ファイルなどを介して任意のローカルファイルを読み取る可能性があります。 HTTP/HTTPS URI を介してサーバーサイドリクエストフォージェリSSRFを実行したり、Billion Laughs エンティティ拡張攻撃を介してサービス拒否を引き起こしたりする可能性があります。 「isXmlEqualTo(CharSequence)」は、バージョン 3.18.0 で XMLUnit のために廃止されており、バージョン 4.0で削除される予定です。影響を受けるバージョンのユーザーは、優先順位の順に「isXmlEqualTo(CharSequence)」を XMLUnit で置き換え、バージョン 3.27.7にアップグレードするか、信頼できない入力で「isXmlEqualTo(CharSequence)」または「XmlStringPrettyFormatter」を使用しないようにする必要があります。
    「XmlStringPrettyFormatter」は過去に、AssertJ ユーザー向けの機能ではなく、「isXmlEqualTo(CharSequence)」のためのユーティリティと見なされていました。そのため、バージョン 3.27.7 で廃止され、バージョン 4.0で削除され、置換なしとなっています。CVE-2026-24400

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-24400

high Nessus プラグイン ID 296899

バージョン 1.10