Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Faraday は、多数のアダプターに共通のインターフェイスを提供する HTTP クライアントライブラリ抽象化レイヤーです。
     2.14.1より前では、Faraday の build_exclusive_url メソッドlib/faraday/connection.rb 内が Ruby の URI#merge を使用して接続のベース URL をユーザー指定のパスと組み合わせます。RFC 3986 ごとに、プロトコル関連 URL (例
    //evil.com/pathは、ベースURLのホスト/権限コンポーネントをオーバーライドするネットワークパス参照として扱われます。これは、いずれかのアプリケーションが、ユーザーコントロールの入力を Faraday の get()、post()、build_url()、またはその他のリクエストメソッドに渡す場合、攻撃者が //attacker.com/endpoint のようなプロトコル関連の URL を提供して、これにより、サーバーサイドリクエストフォージェリSSRFが可能になります。この脆弱性は 2.14.1 で修正されました。(CVE-2026-25765)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-25765

medium Nessus プラグイン ID 298451

バージョン 1.6