Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用に 5.36 より前の URI バージョンは、nameprep での正規化の欠如により、NFC 以外のホスト名を非標準の punycode ラベルにエンコードします。nameprep は各ホストラベルを小文字で扱いますが、Unicode の正規化は行いません。IDNA では、ラベルをエンコードする前にフォーム C に正規化する必要があるため (RFC 5891)、NFC にまだ存在しないラベルは、正規化された形式とは異なる A ラベルにエンコードされます。事前に構成されたデーヴァナーガリ シーケンス U+0958 U+093E から構築されたラベルは、正規化せずに xn--72b5c にエンコードしますが、NFC 正規化後に xn--11b2fg にエンコードします。xn--72b5c は元のラベルにラウンドトリップしません。信頼できない入力から構築されたURIからhost()を読み取り、それをセキュリティの決定(許可または拒否リスト、SSRFフィルター、重複排除、キャッシュキー)に使用する呼び出し元は、非標準のラベルを参照しますが、同じURLをフェッチするクライアントはNFCフォームを解決するため、チェックとフェッチがホストについて意見が一致しない可能性があります。
    (CVE-2026-19953)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-19953

medium Nessus プラグイン ID 339506

バージョン 1.7