Linux Distros のパッチ未適用の脆弱性: CVE-2026-76172

high Nessus プラグイン ID 339303

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- fast-uri は、Node.js 用の URI パーサーです。解析中、これはスキームコンポーネントに対してレガシーデコーディングパスを実行し、結果を再エスケープすることはありません。また、シリアル化は、再エスケープされるホストコンポーネントとは異なり、スキームを逐語的に書き戻します。その結果、パーセントエンコードされたスラッシュを含むスキームを持つ入力は、権限のないスキームとして解析されるため、解析されるホストとエラーは両方とも定義されませんが、同じ入力を解決または正規化すると、その権限が攻撃者が選択し、そのホストに対して再解析されるネットワークパス参照を発行します。解析されたホストで許可リストに登録したり、権限のない参照をそのベースに対して安全に解決できるものとして扱うアプリケーションは、チェックした結果と逆の結果を取得し、オフサイトリダイレクト、サーバー側のリクエスト偽造、アドレスポリシーのバイパスを引き起こします。また、レガシーデコーダーは非標準のエスケープフォームを拡張し、問題を上流フィルターを超えて拡大し、スキーム内の制御文字が生のキャリッジリターンと改行として出力に到達する可能性があります。影響を受けるバージョンは、2.4.5までは2.3.1されていますが、は含まれていませんが、3.1.6までは3.0.0、4.0.0は4.1.3までですが、含まれていません。この問題は 2.4.5、 3.1.6、 4.1.3 で修正され、デコード後に有効でないスキームを拒否します。ユーザーは、パッチを適用したバージョンにアップグレードする必要があります。(CVE-2026-76172)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2026-76172

プラグインの詳細

深刻度: High

ID: 339303

ファイル名: unpatched_CVE_2026_76172.nasl

バージョン: 1.2

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/8/25

更新日: 2026/8/26

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus