Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Ant の ftp タスクと scp タスクは、リモートサーバーからファイルをダウンロードできます。悪意のあるサーバーが、ダウンロード用の専用ターゲットディレクトリの外側に書き込むことを可能にする相対パスを提供し、これにより Ant 1.10.18 より前のバージョンで Ant を実行しているユーザーのアクセス許可を利用して、攻撃者が選んだファイルを上書きできる可能性があります。この脆弱性を悪用するには、サーバーが悪意があるか、中間者マシン攻撃を受けやすい必要があります。さらに、ftps を使用する scp または ftp タスクの場合、サーバーはタスクによって実行されるサーバー識別チェックに合格する必要があります。ftps を使用しない ftp タスクでは、悪意のあるサーバーが中間マシンとして機能し、悪意のあるファイルを提供する可能性があります。
    Ant 1.10.18 起動すると、両方のタスクがデフォルトで宛先ディレクトリの外部への書き込みを防止します。
    まれに既存のビルドファイルで古い動作が必要となっている場合に、この動作を無効にするオプションを利用できます。緩和策:Antのどのバージョンでもscpおよびftp(ftpsを使用する場合)のユーザーは、サーバー識別チェックをバイパスしないでください。ftps を使用しない ftp のユーザーは、可能であれば ftps に切り替える必要があります。すべてのユーザーは、Apache Ant 1.10.18にアップグレードし、この問題を修正することが推奨されます。(CVE-2026-78254)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-78254

high Nessus プラグイン ID 343526

バージョン 1.4