Linux Distros のパッチ未適用の脆弱性: CVE-2026-60074
high Nessus プラグイン ID 331303
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- Perl の 6.99 までの Date::Manip のバージョンは、チェック内の数値範囲テストに合格する非 ASCII 十進数を介して、破損した日付を返します。解析正規表現は、年、月、日を「\d」短縮形でキャプチャします。これは、文字列で「[0-9]」だけでなく、Unicode の十進数プロパティ「\p{Nd}」全体に一致します。Date::Manip::Base::check はその後、数値比較のみにより、キャプチャされたフィールドを検証します('$y<1 || $y>9999', '$m<1 || $m>12', '$d<1 || $d>$days')、_parse_checkは数値フィールド('$y+0')を保存します。
Perl は ASCII 桁ではない最初の文字で文字列を切り捨てるため、先頭文字が ASCII 桁のフィールドは範囲内のプレフィックスに数値化され、すべてのテストを満たします: 3 桁の ASCII 数字の年フィールドの後に U+0664 アラビア語-インド語の数字 4 が 202 に数値化して 0202 年を与え、月または日フィールドに 1 つの非 ASCII 数字がそれらのフィールドを同じようにシフトします。時、分、秒のフィールドは、明示的な ASCII 文字クラス(「0?[0-9]', '[0-5][0-9]') とシフトしません。小数値の時間または分フィールドの非 ASCII 数字は分数を切り捨てます。信頼できない文字列を ParseDate() または Date::Manip::D ate->parse() に渡す呼び出し元が、解析エラーなしで解析した文字列とは異なる日付を返すことができます。解析された日付が有効期限チェックや保持期間などのロジックをゲートする場合、シフトは気づかれません。(CVE-2026-60074)
Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。参考資料
https://access.redhat.com/security/cve/cve-2026-60074
プラグインの詳細
深刻度: High
ID: 331303
ファイル名: unpatched_CVE_2026_60074.nasl
バージョン: 1.4
タイプ: Local
エージェント: unix
ファミリー: Misc.
公開日: 2026/7/30
更新日: 2026/8/10
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.72
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 4.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2026-60074
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:U/RC:C
脆弱性情報
CPE: cpe:/o:canonical:ubuntu_linux:14.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:centos:centos:7, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:11.0, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:canonical:ubuntu_linux:libdate-manip-perl, p-cpe:/a:centos:centos:perl-date-manip, p-cpe:/a:debian:debian_linux:libdate-manip-perl, p-cpe:/a:redhat:enterprise_linux:perl-date-manip
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2026/7/30
参照情報
CVE: CVE-2026-60074