Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Doorkeeper は、Ruby on Rails 用の OAuth 2 プロバイダーです。バージョン 1.9.0 では、動的に登録されたクライアントのclient_id(公開情報)のみを知っている攻撃者が、トークンエンドポイントでそのクライアントとして認証され、そのclient_secretを提供せずにアクセストークンを取得できます。これは、動的クライアント登録機能が機密のアプリケーションを作成するために発生します。登録応答がclient_secretを返し、client_secret_basicとclient_secret_postの認証方法のサポートをアドバタイズしている場合でも、ハードコードされたのは偽です。Doorkeeper は、空白または欠落しているシークレットを非機密 (パブリック) クライアントに対して有効なものとして扱うため、このシークレットは検証されません。Dynamic Client Registration(デフォルトでは無効になっている)を明示的に有効にしたプロジェクトのみが影響を受けます。この問題はバージョン 1.10.0 で修正されています。(CVE-2026-44476)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-44476

medium Nessus プラグイン ID 340708

バージョン 1.3