Fedora 44:rust-fern/rust-ifcfg-devname/rust-routinator/rust-rpki/etc(2026-ec9f1ca21a)
high Nessus プラグイン ID 328871
Language:
概要
リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモートの Fedora 44 ホストには、FEDORA-2026-ec9f1ca21a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。「routinator」を最新のバージョンに更新し、更新された依存関係(「rpki」および「syslog」)を取り込み、この更新で「fern」を 6 ではなく「syslog」7 を使用するように切り替え、「ifcfg-devname」にバインドされている「syslog」バージョンを緩めます。
# v0.15.2 このリリースでは、[X41 D-Sec]によって実施され、[Sovereign Tech Agency]が資金提供したセキュリティ監査によって特定された、多数の脆弱性とセキュリティの問題を修正します。
**全ユーザーは、できるだけ早くアップグレードすることが推奨されます。**
## セキュリティ修正
* 受信 HTTP および RTR 接続を受け入れる場合の一時的なエラーの処理方法を変更しました。終了する代わりに警告が印刷され、エラーが無視されます。([#1099])
この問題は [CVE-2026-49232] に割り当てられました。
* rsync URI の不正なパスコンポーネントのチェックを拡張し、権限とモジュールの部分も含めました。([rpki-rs#370]経由)
これは、[CVE-2026-49233] が割り当てられているパストラバーサルの脆弱性を修正します。
* 文字列から特定の AS 番号を解析するときのパニックを修正しました。([rpki-rs#373]経由)
これは、[CVE-2026-49234] が割り当てられている脆弱性を修正します。
* quick-xml を少なくとも 0.39.4 にアップグレードし、特定のクレートされた XML ファイルでパニックを引き起こす可能性がある XML 解析の回帰を修正しました。([rpki-rs#372]経由)
これは、[CVE-2026-49235] が割り当てられている脆弱性を修正します。
## 改善点
* HTTP 経由でダウンロードされるトラストアンカー証明書を、「max_object_size」構成オプションで指定されたサイズに制限しました。([#1090])
* 「-e」および「--rsh」オプションは、「rsync-args」構成オプションで拒否されます。同様に、Routinator は同等の環境変数「RSYNC_RSH」が設定されている場合は起動しません。([#1091])
## バグ修正
* systemd 経由で受信した RTR リスナーソケットをノンブロッキングに設定します。これは Tokio のパニックを修正します。([#1081] by [@MaxHearnden])
* 「--rrdp-tcp-keepalive」をコマンドライン引数ではなくコマンドラインオプションとして修正しました。
([1085])
## その他の変更
* Ubuntu Resolute Raccoon(26.04)のサポート。([#1095])
[#1090]: https://github.com/NLnetLabs/routinator/pull/1090[#1091]: https://github.com/NLnetLabs/routinator/pull/1091[#1081]: https://github.com/NLnetLabs/routinator/pull/1081[#1085]: https://github.com/NLnetLabs/routinator/pull/1085[#1095]: https://github.com/NLnetLabs/routinator/pull/1095[@MaxHearnden]: https://github.com/MaxHearnden[rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370[rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372[rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373[CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt[CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt[CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt[CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt[X41 D-Sec]: https://www.x41-dsec.de/[Sovereign Tech Agency]: https://www.sovereign.tech/
# v0.15.1
## バグ修正
* 空のデータセットで成功する代わりに、TAL の保存された TA 証明書がない場合、楽観的な最初の実行を中止します。([#1071])
* systemd ユニットファイルの「PrivateUsers」制限を元に戻して、ユーザーが権限のあるポートで Routinator を実行できるようにします。([#1068])
[#1068]: https://github.com/NLnetLabs/routinator/pull/1068[#1071]: https://github.com/NLnetLabs/routinator/pull/1071
# v0.15.0
## 互換性に影響する変更
* 「rrdp-keep-responses」機能を削除しました。代わりに [mitmproxy] などの HTTP プロキシの使用をお勧めします。
これは、リリース 0.14.0 で再び戻ってきた [CVE-2023-39916] をきっぱりと修正します。([#1055])
* リポジトリとパブリケーションポイントに関する問題に関するメッセージは別々にログに記録され、デフォルトではステータス HTTP サーバーエンドポイントにのみ表示されます。新しい「log-repository-issues」オプションを使用すると、これらのメッセージもログに書き込まれる可能性があります。([#1054])
* 破損または欠落しているローカル例外ファイルについてサーバーモードが処理する方法を変更しました。以前は、Routinator は修正されるまで更新を停止し、オペレーターがエラーメッセージを見逃すと更新が停止していました。現在は、警告をログに残し、以前の一連のローカル例外を使用し続けます。起動時に、破損しているか、ローカルの例外ファイルがない場合、エラーメッセージで終了します。([#1060])
* RRDP タイムアウトを変更しました:新しい構成変数「rrdp-read-timeout」を導入しました。これは、個々のネットワーク操作(主にサーバーからの読み取り)のタイムアウトを提供します。デフォルトは 10 秒です。このタイムアウトは、特定の値が指定されていない接続の場合にも使用され、検証実行が大幅に高速化されます。
さらに、一部のリポジトリの大きなスナップショットの転送が遅い場合に対処しやすくするために、RRDP タイムアウトが 300 秒から 600 秒に延長されました。([#1061])
## 新規
* サーバーの起動後のクイック初期実行を追加しました。これは保存されたデータのみを使用し、構成変更に対処するために必要なデータが以前にリクエストされていない場合に中止します。これにより、Routinator を再起動する際の初期データセットに対する待機時間が短縮されます。([#1057])
* ASPA ペイロードを含む出力フォーマットとして SLURM v2 のサポートを追加しました。([#1021])
* 有効期間の短いオブジェクトによりよく対処できるように、リフレッシュの挙動を変更しました。デフォルトでは、オブジェクトの有効期限が切れた場合も、Routinator は「refresh」で定義された時間待機するようになりました。新しい「min-refresh」オプションを使用すると、更新時間の前にオブジェクトの有効期限が切れた場合に、短い最小更新時間を指定できます。この値をゼロに設定すると、以前の動作が復元されます。([#1027])
* マニフェストエントリが処理される順序がランダム化されました。([#1041])
* RRDP スナップショットのダウンロードを保存するオーバーヘッドを削減し、スナップショットの更新時間を大幅に改善しました。([#1035])
* 「dump」コマンドは、ダンプするデータのソースディレクトリを出力するようになりました。([#1045])
* 最後に成功した検証実行が所定の分数未満であることが判明した場合にローカルキャッシュの更新をスキップする、「vrps」サブコマンドに「--update-after」オプションを追加しました。([#1049])
* API 関連の HTTP エンドポイントのエラー応答に、JSON 本文が含まれるようになりました。([#1050])
* 「/validity」HTTP サーバーエンドポイントが、一度にすべてチェックする複数のルートが含まれる JSON 本文付きの POST リクエストを受け入れるようになりました。([#1053])
* キャッシュされたマニフェストプロパティを実際のマニフェストに対してダブルチェックし、一致しない場合は保存されたパブリケーションポイントを破棄することで、破損した保存されたパブリケーションポイントに対する保護を改善します。
これは、偶発的にまたは悪意を持ってローカルに保存されたマニフェストが、正当な新しいマニフェストの更新をブロックする可能性がある問題を修正します。これは、清華大学ネットワーク科学サイバー空間研究所(INSC)の Zizhi Shang 氏、Zhechao Lin 氏、Jiahao Cao 氏、Yangyang Wang 氏、Mingwei Xu 氏により報告されました。
## バグ修正
* [RFC9286] で定義されたルールに名前を制限することにより、特定の無効な文字がマニフェストファイル名に現れる場合のクラッシュを修正しました。この問題は、ゲーテ大学フランクフルトと ATHENE の Niklas Vogel 氏により報告されました。([rpki-rs#342])
* RTRTR によって使用される、より単純なモデルに基づいて、RRDP クライアントメトリクスを再実装し、メトリクスで繰り返し発生するエラーを修正します。([#1039])
* RRDP 更新がタイムアウトしたときに記録されるメッセージが、実際にそのことを言うように変更されました。([#1052])
## その他の変更
* validate サブコマンドでのファイルシステムオペレーションのパフォーマンスを改善しました。([#1043] by [@kawaemon])
* package.homepage を Cargo.toml に追加します([#1024])
* RHEL 10 と Debian 13 用のビルドパッケージを追加しました。([#1034]、[#1047])
* Debian Bookworm の ARMv6 および ARM64 のビルドパッケージを追加しました。([#1036])
* さまざまなバイナリパッケージで使用される systemd ユニットファイルに追加制限を追加しました。([#1056])
* さまざまな依存関係をアップグレードします。([#1004]、[#1005]、[#1006])
[#1004]: https://github.com/NLnetLabs/routinator/pull/1004[#1005]: https://github.com/NLnetLabs/routinator/pull/1005[#1006]: https://github.com/NLnetLabs/routinator/pull/1006[#1014]: https://github.com/NLnetLabs/routinator/pull/1014[#1021]: https://github.com/NLnetLabs/routinator/pull/1021[#1024]: https://github.com/NLnetLabs/routinator/pull/1024[#1027]: https://github.com/NLnetLabs/routinator/pull/1027[#1034]: https://github.com/NLnetLabs/routinator/pull/1034[#1035]: https://github.com/NLnetLabs/routinator/pull/1035[#1036]: https://github.com/NLnetLabs/routinator/pull/1036[#1039]: https://github.com/NLnetLabs/routinator/pull/1039[#1041]: https://github.com/NLnetLabs/routinator/pull/1041[#1043]: https://github.com/NLnetLabs/routinator/pull/1043[#1045]: https://github.com/NLnetLabs/routinator/pull/1045[#1047]: https://github.com/NLnetLabs/routinator/pull/1047[#1049]: https://github.com/NLnetLabs/routinator/pull/1049[#1052]: https://github.com/NLnetLabs/routinator/pull/1052[#1053]: https://github.com/NLnetLabs/routinator/pull/1053[#1055]: https://github.com/NLnetLabs/routinator/pull/1055[#1056]: https://github.com/NLnetLabs/routinator/pull/1056[#1057]: https://github.com/NLnetLabs/routinator/pull/1057[#1060]: https://github.com/NLnetLabs/routinator/pull/1060[#1061]: https://github.com/NLnetLabs/routinator/pull/1061[rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342[@kawaemon]: https://github.com/kawaemon[MitMproxy]: https://www.mitmproxy.org/[RFC9286]: https://tools.ietf.org/html/rfc9286[CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt
Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bodhi.fedoraproject.org/updates/FEDORA-2026-ec9f1ca21a
プラグインの詳細
深刻度: High
ID: 328871
ファイル名: fedora_2026-ec9f1ca21a.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: Fedora Local Security Checks
公開日: 2026/7/21
更新日: 2026/7/21
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.13
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2026-49233
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 6.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L
CVSS スコアのソース: CVE-2026-49235
脆弱性情報
CPE: cpe:/o:fedoraproject:fedora:44, p-cpe:/a:fedoraproject:fedora:rust-fern, p-cpe:/a:fedoraproject:fedora:rust-ifcfg-devname, p-cpe:/a:fedoraproject:fedora:rust-routinator, p-cpe:/a:fedoraproject:fedora:rust-rpki, p-cpe:/a:fedoraproject:fedora:rust-syslog
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/7/3
脆弱性公開日: 2023/9/13
参照情報
CVE: CVE-2023-39916, CVE-2026-49232, CVE-2026-49233, CVE-2026-49234, CVE-2026-49235
FEDORA: 2026-ec9f1ca21a