リモートホストで実行されているHCL BigFix Remote Controlのバージョンは 10.1.0.0442 より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - HCL BigFix Remote Control Server WebUI(バージョン 10.1.0.0442 以前)のコンテンツセキュリティポリシー(CSP)の設定ミスにより、フォールバックなしでディレクティブを定義できないため、攻撃者は意図したセキュリティ制限をバイパスし、認証されていないリソースをロードできます。(CVE-2026-21785)

  - Netty は、HTTP/1.1 チャンク転送エンコーディング拡張値の引用符で囲まれた文字列を不適切に解析します。これにより、リクエストスマグリング攻撃が可能になります。(CVE-2026-33870)

  - Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです。4.1.132.Final および 4.2.10.Final より前のバージョンで、リモートユーザーが、大量の CONTINUATION フレームを送信することで、Netty HTTP/2 サーバーに対するサービス拒否(DoS)を発生させることが可能です。サーバーにCONTINUATIONフレーム数の制限がないことと、ゼロバイトフレームを使用する既存のサイズベースの緩和策のバイパスが組み合わさることで、ユーザーは最小の帯域幅で過剰なCPU消費を引き起こし、サーバーを応答不能にする可能性があります。(CVE-2026-33871)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

HCL BigFix Remote Control <= 10.1.0.0442 の複数の脆弱性

high Nessus プラグイン ID 318683

バージョン 1.2