したがって、ALAS2023-2026-1986 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    「acl」コンポーネント、特にその「libacl」パス名ベースの関数内で欠陥が見つかりました。ローカルの攻撃者が、シンボリックリンクを使用してパス名コンポーネントを置換することで、この脆弱性を悪用する可能性があります。
    これにより、攻撃者がアクセスコントロールリスト(ACL)の読み取りまたは書き込み操作を任意のファイルまたはディレクトリにリダイレクトし、ACLの不正操作やローカルの権限昇格を引き起こす可能性があります。(CVE-2026-54369)

    ACL に time-of-check to time-of-use(TOCTOU)競合状態の脆弱性が見つかりました。パス名コンポーネントを、セキュリティチェックと後続のファイル操作の間のシンボリックリンクに置き換えることにより、攻撃者がファイルアクセスコントロールリスト操作をリダイレクトする可能性があります。これは、権限のあるプロセスが攻撃者が制御するパスで「getfacl」または「setfacl」を呼び出すときに発生し、ローカルの権限昇格につながる可能性があります。(CVE-2026-54370)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

2023 Amazon Linux:acl、libacl、libacl-devel(ALAS2023-2026-1986)

high Nessus プラグイン ID 328504

バージョン 1.1