Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Scrapy は、Python 用の高レベル Web クロールおよびスクレイピングフレームワークです。2.17.0より前のscrapy/core/downloader/handlers/s3.py では、ScrapyのS3DownloadHandlerは、request.meta[is_secure]が明示的に有効になっていない限り、S3スキームバケットとキーリクエストを、対応するS3エンドポイントへの平文のHTTPリクエストに変換した後、構成されたAWS資格情報を使用して平文のリクエストに署名して送信します。ScrapyとS3の間のトラフィックを監視できるネットワーク攻撃者が、バケットとキーパス、AWS Authorizationヘッダー、一時的な認証情報が使用されたときのX-Amz-Security-Token、S3オブジェクトコンテンツ、S3レスポンスヘッダーを読み取る可能性があります。また、アクティブな中間者攻撃者は、Scrapyが処理する前にプレーンテキストのS3レスポンスボディ、ステータスコード、ヘッダーを変更して、偽造されたリダイレクトや攻撃者が制御するリンクを通じて、スクレイピングされたデータポイズニング、ポイズニングされたエクスポート、HTTPキャッシュポイズニングを引き起こしたり、その後のクロールターゲットに影響を与えたりする可能性があります。AWS認証情報を使用してS3スキームのリクエストを行うユーザーは影響を受けます。この問題はバージョン 2.17.0 で修正されています。(CVE-2026-84366)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-84366

high Nessus プラグイン ID 342558

バージョン 1.2