Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:parseSetCookie 内の undici のクッキーパーサーは、qsUnescape を介してクッキー値をパーセントデコードし、%0D%0A、%00、%3B、%3D などのエンコードされたシーケンスを同等のリテラルバイトに変換します。RFC 6265 5.4 デコーディングを指定せず、ブラウザもデコードしません。Set-Cookieヘッダーを解析し、解析された値を応答ヘッダー(プロキシ、ミドルウェア、SSRフレームワーク)に転送するアプリケーションは、HTTP応答ヘッダーインジェクションに対して脆弱になります。攻撃者が制御するアップストリームは、任意のSet-Cookie、Location、またはCache-Controlヘッダーをアプリケーションのダウンストリーム応答に注入し、セッション固定、オープンリダイレクト、またはキャッシュポイズニングを引き起こす可能性があります。影響を受けるアプリケーションは、undici のクッキー解析(parseSetCookie、parseCookie、getSetCookies)を使用し、解析されたクッキー値を応答ヘッダーに転送するアプリケーションです。これは、undici 7.0.0 で PR #3789 を通じて導入されました。パッチ:undici v6.26.0、v7.28.0 または v8.5.0 にアップグレードしてください。回避策:アップグレードがすぐに不可能な場合は、parseSetCookie/parseCookie/getSetCookies から返された値を直接応答ヘッダーに転送しないでください。最初に値をサニタイズして、CR、LF、NUL、;、および = バイトを除去または拒否します。(CVE-2026-9679)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-9679

medium Nessus プラグイン ID 321572

バージョン 1.4

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.4 Jul 16, 2026, 4:10 AM Detection (updated detection logic) Plugin Feed: 202607160410
バージョン 1.3 Jun 28, 2026, 2:21 PM Detection (updated detection logic) Plugin metadata Plugin Feed: 202606281421
バージョン 1.2 Jun 22, 2026, 8:21 AM CVSS metrics ("CVSSv3 score" set to 5.9) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N") Plugin Feed: 202606220821
バージョン 1.1 Jun 20, 2026, 11:15 AM New Plugin Feed: 202606201115