Fedora 43:erlang-cowboy / erlang-cowlib(2026-ce97d80dae)

high Nessus プラグイン ID 335329

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 43 ホストには、FEDORA-2026-ce97d80dae のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

2026 年 7 月 27 日に一緒に Upstream でリリースされた、cowlib および cowboy の協調されたセキュリティ更新。

cowlib 2.19.0 により、 CVE-2026-59248が修正されます:制限のない HPACK/QPACK のプレフィックス付き整数デコーディングにより、サービス拒否が引き起こされる可能性がありました。また、マルチパートヘッダー内の空の HTTP/2 CONTINUATION フレームおよび NULL バイトを拒否し、クッキードメインおよびパスを検証し、デフォルトで cow_cookie:parse_cookie を 100 クッキーに制限し、Sec-Websocket-Version 制限を応答ヘッダーに適用し、カスタムmax_concurrent_streamsを即座に適用します。

Cowboy 2.18.0 が一致するリリースであり、cowlib 2.19.0が必要です。これは、HTTP/1.1 ヘッダー値のCRを拒否し、フラグメントコンポーネントを含むリクエストを拒否し、ホストが:authorityに同意しないHTTP/2リクエストを拒否し、cowboy_reqクッキー関数にmax_cookiesオプションを追加し、重複ヘッダーのmax_headers処理を修正し、websocket max_inflate_size計算を修正します。

注意:cowboy 2.18.0 は、パイプライン化されている HTTP/1.1 リクエストの同時処理を削除します。その動作に依存するアプリケーションでは、異なるスループット特性が表示される可能性があります。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受ける erlang-cowboy および/または erlang-cowlib パッケージを更新してください。

参考資料

https://bodhi.fedoraproject.org/updates/FEDORA-2026-ce97d80dae

プラグインの詳細

深刻度: High

ID: 335329

ファイル名: fedora_2026-ce97d80dae.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Fedora Local Security Checks

公開日: 2026/8/14

更新日: 2026/8/14

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus