Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - openCryptokiは PKCS#11 ライブラリで、LinuxおよびAIX向けのツールを提供しています。バージョン 3.26.0 以降では、共有共通ライブラリ(asn1.c)のBER/DERデコード関数は生のポインタを受け入れますがバッファ長パラメータは受け付けず、攻撃者が制御するBER長フィールドを実際のバッファ境界に対して検証せずに信頼します。すべてのプリミティブデコーダが影響を受けます:ber_decode_INTEGER、ber_decode_SEQUENCE、ber_decode_OCTET_STRING、ber_decode_BIT_STRING、ber_decode_CHOICE。さらに、符号化された長さがゼロの場合、ber_decode_INTEGERは整数アンダーフローを生じさせることもあります。攻撃者がC_CreateObjectやC_UnwrapKey、ディスクからのトークンロード、リモートバックエンド通信などの PKCS#11 操作を通じて、誤ったBER符号化された暗号オブジェクトを供給すると、アウトオブバウンドの読み取りを引き起こすことがあります。これは、脆弱なコードが共有共通ライブラリにあるため、すべてのトークンバックエンド(ソフト、ICA、CCA、TPM、 EP11、ICSF)に影響します。ed378f463ef73364c89feb0fc923f4dc867332a3のパッチが入手可能です。(CVE-2026-40253)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-40253

medium Nessus プラグイン ID 307346

バージョン 1.11