Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.0.0から2.18.8、2.21.4、3.1.4まで、JDKFromStringDeserializerは、逆シリアル化時にホスト名入力に対して熱心なDNS名前解決を実行する新しいInetSocketAddress(host, port)でInetSocketAddressを構築しました。信頼できない JSON を InetSocketAddress フィールドを含むタイプにバインドするアプリケーションは、アプリケーションレベルの検証または接続ロジックの前の readValue 中に、攻撃者が選択した DNS クエリを発行します。この修正は、InetSocketAddress.createUnresolved(host, port) を使用し、DNS を明示的な接続に保留します。この脆弱性は、2.18.8、2.21.4、3.1.4 で修正されています。(CVE-2026-54514)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-54514

medium Nessus プラグイン ID 322426

バージョン 1.3