Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Rack::Session は Rack のセッション管理実装です。 2.0.0 から 2.1.2より前の では、Rack::Session::Cookie が secrets: で構成されたときに復号化の失敗を不適切に処理します。Cookie の復号化が失敗した場合、その実装は Cookie を拒否するのではなく、デフォルトのデコーダーにフォールバックします。これにより、認証されていない攻撃者が、設定された秘密なしで有効なセッションデータとして受け入れられる、細工されたセッションクッキーを用意する可能性があります。このメカニズムはセッション状態をロードするために使用されるため、攻撃者がセッションコンテンツを操作し、承認されていないアクセスを取得する可能性があります。この脆弱性は 2.1.2 で修正されました。(CVE-2026-39324)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-39324

critical Nessus プラグイン ID 305252

バージョン 1.1