Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の 0.031 より前の 0.017 からの Crypt::Argon2 バージョンは、空のエンコードされた入力でヒープ領域外読み取りを argon2_verify で実行します。argon2_verifyの自動検出形式は、encoded_lenがゼロ以外であることをチェックせずに、長さ引数としてencoded_len - 1をmemchrに渡します。エンコードされた文字列が空の場合、size_t減算がアンダーフローしてSIZE_MAXし、memchr が隣接するヒープメモリをスキャンして「$」セパレーターバイトを探します。正当に空の可能性がある保存されたハッシュ(たとえば、空の文字列として具体化されたプレースホルダー行やNULL列)に対してargon2_verifyを呼び出す呼び出し元が、領域外のヒープメモリを読み取り、プロセスをクラッシュさせたり、隣接する「$」バイトの位置を後続の解析に漏えいさせたりする可能性があります。
    (CVE-2026-8463)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-8463

medium Nessus プラグイン ID 314483

バージョン 1.10