Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - pgjdbc は、オープンソースの PostgreSQL JDBC ドライバーです。42.7.4 から 42.7.11 までのリリースでは、channelBinding=require 接続が、チャネルバインディングのある SCRAM-SHA-256-PLUS から、チャネルバインディングのないプレーンな SCRAM-SHA-256 にサイレントにダウングレードされ、この設定が保証するはずの中間者保護を失う可能性があります。TLS 接続を傍受できる攻撃者は、署名アルゴリズムに tls-server-end-point チャネルバインディングハッシュがない証明書でダウングレードを発生させることができます。これは、バンドルされた com.ongres.scram:scram-client が失敗せずに空のバイト配列を返し、pgJDBC ScramAuthenticator は、空のバインディングを拒否したり、ネゴシエートされたメカニズムがチャネルバインディングを使用していることをチェックすることなく、サーバーが PLUS メカニズムをアドバタイズしたことだけをチェックするためです。この問題はバージョン 42.7.12 で修正されています。
    (CVE-2026-54291)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-54291

high Nessus プラグイン ID 325326

バージョン 1.5