Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 問題のサマリー: ChaCha20-Poly1305 と空の暗号文による AES-OCB 復号化は、EVP_Cipher() 関数を呼び出して操作がファイナライズされた場合に、指定された認証タグを検証せずに成功を報告する可能性があります。影響のサマリー: 空の暗号文で EVP_Cipher() を呼び出し、AEAD タグをチェックするための呼び出しを期待するアプリケーションが、偽装されたメッセージを受け入れる可能性があります。CWE: CWE-354 (整合性チェック値の不適切な検証) 説明: AEAD 暗号の EVP_Cipher()API 呼び出しは、1 回限りの暗号化および復号化の呼び出しと同様に動作します。また、復号化操作後に AEAD タグも検証します。ただし、AES-OCB および ChaCha20-Poly1305 暗号については、空の暗号文が関数に渡されると、AEAD タグの検証がスキップされます。この関数を呼び出す側は、たとえ実際には検証されていない場合でも、正常に返されたことが、これらの暗号方式に対して有効な AEAD タグであることを示していると誤解する可能性があります。FIPS の影響:
    なし。4.0、3.6、3.5、3.4、3.0 の FIPS モジュールは、影響を受けるアルゴリズムが FIPS 認証を受けておらず、FIPS モジュールには実装されていないため、この CVE による影響を受けません。(CVE-2026-75803)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-75803

critical Nessus プラグイン ID 338398

バージョン 1.12