Linux Distros のパッチ未適用の脆弱性: CVE-2026-12570

medium Nessus プラグイン ID 333615

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- keras-team/keras versions <= 3.15.0 の脆弱性により、悪意のある .keras モデルファイルを keras.models.load_model() 関数で読み込む際に、サービス拒否(DoS)攻撃を受ける可能性があります。keras/src/saving/saving_lib.pyのH5IOStore.__getitem__メソッドはデータセットの形状やサイズを検証しないため、際限のないメモリ割り当てが発生します。特別に細工された .keras ファイルがこの欠陥を悪用し、メモリ不足(OOM)状態を発生させて、プロセスを終了させる可能性があります(終了コード 137)。この問題は、KerasFileEditor の類似した脆弱性のみに対処した CVE-2026-0897 の修正をバイパスします。攻撃ベクトルには、パブリックリポジトリや悪意のあるモデルレジストリからの侵害されたモデルが含まれており、信頼できないモデルを処理する機械学習パイプラインにリスクをもたらします。(CVE-2026-12570)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2026-12570

プラグインの詳細

深刻度: Medium

ID: 333615

ファイル名: unpatched_CVE_2026_12570.nasl

バージョン: 1.2

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/8/10

更新日: 2026/8/11

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus