Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 0.24.11 より前の Music Player Daemon(MPD)には、ローカルストレージプラグイン内の LocalStorage::MapFSOrThrow および LocalStorage::MapUTF8 にパストラバーサルの脆弱性があります。これらのバージョンでは、正規化せずに平文文字列としてストレージルートとストレージルートを結合することで、ディスク上のパスが構築されます。これにより、「..」セグメントが解決されたパスに残り、openat() 時にカーネルによってフラット化されます。認証されていない攻撃者が、この欠陥を悪用して、listfiles コマンドを使用して、MPD プロセスが読み取れる任意のディレクトリの名前、サイズ、および変更回数を列挙したり、albumart コマンドを使用して、構成されたmusic_directory外の攻撃者が選択した任意のディレクトリの中の画像ファイルを読み取ったりする可能性があります。(CVE-2026-49128)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-49128

high Nessus プラグイン ID 317834

バージョン 1.3