Linux Distros のパッチ未適用の脆弱性: CVE-2026-56706

medium Nessus プラグイン ID 339524

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Adminer before 5.4.3 は、XOR マスクとマスクされた値の両方をトークンで送信する CSRF トークンスキーマを使用します(形式 (rand XOR secret):rand)、単一の CSRF トークンを(例えば、ネットワークスニッフィング、ログファイル、リファラヘッダー、または XSS を介して)観察した人は誰でも、単一の XOR 操作でセッションの秘密を回復し、無制限の有効なトークンを偽造することが可能です。この実装は、ブラインドなブルートフォースを許可する低エントロピーセッショントークン(rand(1,1e6)、~20 ビット)、およびトークン検証における緩い比較(==)の使用によってさらに弱体化され、PHP タイプのジャグリングが可能になります。悪用により、任意の SQL クエリの実行を含む、認証されたセッションに対するクロスサイトリクエスト偽造が可能になります。(CVE-2026-56706)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2026-56706

プラグインの詳細

深刻度: Medium

ID: 339524

ファイル名: unpatched_CVE_2026_56706.nasl

バージョン: 1.2

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/8/25

更新日: 2026/8/26

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus