Linux Distros のパッチ未適用の脆弱性: CVE-2026-69664
high Nessus プラグイン ID 342641
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- Erlang/OTP inets の有効期間後のリソース解放の欠落 httpd では、認証されていないリモートの攻撃者が、チャンクサイズ行が 16 進数ではないチャンク本文付きのリクエストを送信することで、サービス拒否を引き起こすことが可能です。接続にサービスを提供するワーカーは決して解放されず、タイムアウトがないと再要求されるため、複数の接続間でリクエストを繰り返すことで、利用可能なすべてのワーカーを占有し、正当なクライアントへのサービスを拒否します。認証は不要で、デフォルト構成が影響を受けます。チャンクサイズの行は、ヘッダーとは別の書き込みで到着する必要があります。本文がヘッダーに付随する場合、httpd_request_handler:handle_body/3 は http_chunk try ...throw:Error がキャッチされるため、http_chunk:decode_size/4 によってスローされる {error, {chunk_size, _}} は 400 Bad Request で応答されます。チャンクサイズが後で到着すると、デコーダーは httpd_request_handler:handle_info/2 のベアキャッチを通じて再開され、スローを上げるのではなく戻り値に変換します。
結果として生じるエラータプルは次のデコーダーの継続として扱われ、ソケットは再武装され、ワーカーは決して来ないデータを待機します。リクエストタイムアウトは、ヘッダーが受け入れられた時点ですでにキャンセルされており、定期的なバイトレートチェックは、minimum_bytes_per_secondが構成されている場合にのみ機能しています。デフォルトでは設定されていません。この問題は、OTP 27.3.4.17 より前の OTP 18.1.4、OTP 28.5.0.6 より前の OTP 28.0、OTP 29.0.6 より前の OTP 29.0 からの OTP に影響を与えます。これは、9.3.2.7 より前の 6.0.3、9.6.2.3 より前の 9.4、9.7.2 より前の 9.7 の inets に対応します。(CVE-2026-69664)
Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。参考資料
プラグインの詳細
深刻度: High
ID: 342641
ファイル名: unpatched_CVE_2026_69664.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: Misc.
公開日: 2026/9/3
更新日: 2026/9/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.64
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 4.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS スコアのソース: CVE-2026-69664
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 6.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/o:canonical:ubuntu_linux:14.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:canonical:ubuntu_linux:erlang, p-cpe:/a:debian:debian_linux:erlang
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2026/9/1
参照情報
CVE: CVE-2026-69664