Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - cbor2 は、Concise Binary Object RepresentationCBORシリアル化フォーマットのエンコーディングおよびデコードを提供します。 5.9.0 より前のバージョンは、深くネスト化された CBOR 構造体をデコードする際に、制御されない再帰によって引き起こされるサービス拒否DoS攻撃に脆弱です。この脆弱性は、純粋な Python 実装および C 拡張「_cbor2」の両方に影響を与えます。C 拡張は、データ駆動深度制限ではなく、Python の内部再帰制限「Py_EnterRecursiveCall」に依存しています。つまり、制限に達すると「RecursionError」を発生させ、ワーカープロセスをクラッシュします。このライブラリは中程度のネストレベルは処理しますが、深度の制限がありません。攻撃者は、約 100,000 個のネスト化された配列「0x81」を含む細工された CBOR ペイロードを用意することができます。「cbor2.loads()」がこれを解析しようとするとき、Python インタープリターの最大再帰深度に達するか、スタックを消費し、プロセスを「RecursionError」でクラッシュさせます。ライブラリが独自の制限を強制しないため、外部の攻撃者がホストアプリケーションのスタックリソースを枯渇させる可能性があります。多くの Web アプリケーションサーバー (Gunicorn、Uvicorn など) またはタスクキュー (Celery) では、処理されない「RecursionError」がワーカープロセスを直ちに終了させます。攻撃者がこれらの小さな (100KB 未満) の悪意のあるパケットのストリームを送信することにより、攻撃者がワーカープロセスを繰り返しクラッシュさせ、アプリケーションの完全なサービス拒否を引き起こす可能性があります。バージョン 5.9.0 は、この問題にパッチを適用します。
    (CVE-2026-26209)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-26209

high Nessus プラグイン ID 303649

バージョン 1.2