Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Glances は、オープンソースのクロスプラットフォーム監視ツールです。GHSA-x46r 修正(コミット 39161f0)は、パラメーター化されたクエリと「psycopg.sql」コンポーザブルオブジェクトを使用するようにすべての SQL 操作を変換することで、TimescaleDB エクスポートモジュールの SQL インジェクションに対処しました。ただし、DuckDB エクスポートモジュール(「glances/exports/glances_duckdb/__init__.py」)はこの修正に含まれておらず、同じクラスの脆弱性を含んでいます。監視統計から派生するテーブル名および列名は、f-string を介して SQL ステートメントに直接補間されます。DuckDB の INSERT 値はすでにパラメーター化されたクエリ(「?」プレースホルダー)を使用していますが、DDL 構造とテーブル名の参照は識別子名をエスケープしたりパラメーター化したりしません。バージョン 4.5.3 では、より完全な修正が提供されます。(CVE-2026-32611)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-32611

critical Nessus プラグイン ID 302961

バージョン 1.9