リモートのDebian 11ホストには、dla-4603アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4603-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:krb5 バージョン:1.18.3-6+deb11u8 CVE ID: CVE-2026-40355 CVE-2026-40356 Debian バグ:1135317

    Kerberos の MIT 実装である krb5 に、2 つの脆弱性が見つかりました。認証されていないリモートの攻撃者が、これらの脆弱性を利用して、サービス拒否を引き起こす可能性があります。

    CVE-2026-40355

        アプリケーションが /etc/gss/mech に登録されている NegoEx メカニズムでシステム上で gss_accept_sec_context() を呼び出すと、認証されていないリモートの攻撃者が NULL ポインターデリファレンスを発生させ、プロセスを終了させる可能性があります。

    CVE-2026-40356

        アプリケーションが /etc/gss/mech に登録されている NegoEx メカニズムを備えたシステム上で gss_accept_sec_context() を呼び出す場合、認証されていないリモートの攻撃者が、最大 52 バイトの読み取りオーバーランを発生させ、プロセスを終了させる可能性があります。読み取ったバイトの抽出は不可能なようです。

    Debian 11 bullseye では、これらの問題はバージョン 1.18.3-6+deb11u8 で修正されました。

    お使いの krb5 パッケージをアップグレードすることを推奨します。

    krb5 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/krb5

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian DLA-4603:krb5-admin-server - セキュリティ更新

medium Nessus プラグイン ID 317482

変更ログが見つかりません