リモートのDebian 11/12ホストには、DLA-4721アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4721-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026年8月6日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:async-http-client バージョン:2.12.2-1+deb11u1 CVE ID: CVE-2026-55688 Debian バグ:1141445

    非同期HTTPリクエストを行うために使用されるライブラリである、async-http-client Java潜在的なクッキー注入の脆弱性があることが判明しました。

    CVE-2026-55688

        潜在的なクッキーインジェクションまたはクッキートスされる脆弱性を防止します。ThreadSafeCookieStore は、応答ホストがそのドメインにクッキーを設定することが許可されていることを検証せずに、そのドメイン属性の値の下にクッキーを保存していたため、クッキートス/インジェクションの問題を引き起こしていました。

    Debian 11 bullseye では、この問題はバージョン 2.12.2-1+deb11u1 で修正されました。

    Debian 12 bookworm では、この問題はバージョン 2.12.3-1+deb12u1 で修正されました。

    async-http-client パッケージをアップグレードすることを推奨します。

    async-http-client の詳細なセキュリティステータスについては、次のセキュリティ追跡ページを参照してください:
    https://security-tracker.debian.org/tracker/async-http-client

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian DLA-4721:libasync-http-client-java - セキュリティ更新

medium Nessus プラグイン ID 333111

バージョン 1.1