Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Erlang/OTP ssl(DTLS サーバー)のデフォルト暗号化キーの使用の脆弱性により、起動ウィンドウ中に予測可能な DTLS クッキー計算が可能になり、ソースアドレス検証のバイパスが有効になります。DTLS サーバーの起動時に、dtls_server_connection:initial_hello/3 がprevious_cookie_secretをランダム値ではなく空のバイナリ(<<>>)に初期化します。空のキーを持つ HMAC は決定論的であるため、平文の ClientHello を観察する人は誰でも、クッキーシークレットの最初のローテーションの前に、dtls_handshake:cookie(<<>>, IP, Port, Hello) を計算し、有効な DTLS クッキーを偽造できます。DTLS クッキー(RFC 6347 4.2.1)は、偽装された送信元 IP がサーバーに状態を割り当てさせたり、負荷のかかる暗号化操作を実行させたりするのを防止する、サービス拒否の緩和策です。認証メカニズムではありません。サーバー起動から最初のシークレットローテーションまでのウィンドウ(0〜15秒)に、平文のClientHelloを観察できる攻撃者が、送信元アドレスの検証をバイパスし、偽装した送信元アドレスを使ってDTLSハンドシェイクの増幅を引き起こす可能性があります。この脆弱性は、プログラムファイル lib/ssl/src/dtls_server_connection.erl およびプログラムルーチン dtls_server_connection:initial_hello/3 に関連付けられています。この問題は、11.7.3、11.6.0.3、11.2.12.10 より前の 8.2 からの ssl に対応する 29.0.3、28.5.0.3 および 27.3.4.14 より前の OTP 20.0からの OTP に影響を与えます。(CVE-2026-54887)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-54887

medium Nessus プラグイン ID 324942

バージョン 1.3

バージョン 1.2

バージョン 1.3 Jul 8, 2026, 11:53 AM CVSS metrics ("CVSSv2 score" set to 4.0) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N") CVSS metrics ("CVSSv3 score" set to 4.8) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N") Plugin Feed: 202607081153
バージョン 1.2 Jul 4, 2026, 4:43 PM CVSS metrics ("CVSSv3 score" set to 5.9. "CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N") CVSSv3 severity (based on None, severity decreased from "High" to "Medium") Detection (updated detection logic) New Plugin metadata Plugin Feed: 202607041643