リモートの Fedora 43 ホストには、FEDORA-2026-ce97d80dae のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2026 年 7 月 27 日に一緒に Upstream でリリースされた、cowlib および cowboy の協調されたセキュリティ更新。

    cowlib 2.19.0 により、 CVE-2026-59248が修正されます:制限のない HPACK/QPACK のプレフィックス付き整数デコーディングにより、サービス拒否が引き起こされる可能性がありました。また、マルチパートヘッダー内の空の HTTP/2 CONTINUATION フレームおよび NULL バイトを拒否し、クッキードメインおよびパスを検証し、デフォルトで cow_cookie:parse_cookie を 100 クッキーに制限し、Sec-Websocket-Version 制限を応答ヘッダーに適用し、カスタムmax_concurrent_streamsを即座に適用します。

    Cowboy 2.18.0 が一致するリリースであり、cowlib 2.19.0が必要です。これは、HTTP/1.1 ヘッダー値のCRを拒否し、フラグメントコンポーネントを含むリクエストを拒否し、ホストが:authorityに同意しないHTTP/2リクエストを拒否し、cowboy_reqクッキー関数にmax_cookiesオプションを追加し、重複ヘッダーのmax_headers処理を修正し、websocket max_inflate_size計算を修正します。

    注意:cowboy 2.18.0 は、パイプライン化されている HTTP/1.1 リクエストの同時処理を削除します。その動作に依存するアプリケーションでは、異なるスループット特性が表示される可能性があります。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 43:erlang-cowboy / erlang-cowlib(2026-ce97d80dae)

high Nessus プラグイン ID 335329

バージョン 1.1