Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の 2.1.0 までの Dancer2 バージョンは、必要な CSPRNG モジュールが利用できない場合に、安全ではないセッション ID を生成します。Dancer2::Core::Role::SessionFactory::generate_id は、Math::Random::ISAAC::XS および Crypt::URandom の両方が利用可能でない限り、警告なしに内蔵の rand 派生セッション ID にフォールバックします。フォールバック セッション ID は、ビルトイン rand 関数の呼び出しの SHA-1 ハッシュ、Dancer2::Core::Role::SessionFactory モジュールの絶対パス、内部カウンター、プロセス ID、モジュール インスタンス メモリ アドレス、シャッフルされた文字列 (ビルトイン rand 関数も使用する List::Util::shuffle 関数を使用) から生成されます。これらはすべて低エントロピーで推測しやすいソースです。内蔵の rand() 関数には 32 ビットがシードされており、セキュリティアプリケーションには不向きだと考えられています。予測可能なセッション ID により、攻撃者がシステムへのアクセス権を取得できる可能性があります。(CVE-2026-13577)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-13577

high Nessus プラグイン ID 328003

バージョン 1.6