Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ACLチェックがないため、Apache ZooKeeperでSetWatchesの再接続リプレイが情報漏えい。攻撃者は、存在しないパスに存在ウォッチを登録することで、ACL 制限付きパスを検出し、制限された ACL でパスが作成された後に再接続します。この問題は、 CVE-2024-23944 の不完全な修正によって引き起こされます(ZOOKEEPER-4799)。この修正では、ACL チェックを WatchManager.triggerWatch() に追加しました。しかし、SetWatches/SetWatches2 再接続リプレイハンドラーである DataTree.setWatches() は、依然として watcher.process(event) を null ACL で呼び出し、チェックを完全にバイパスします。この脆弱性によって漏洩するのは znode のデータではなく、そのパスのみですが、znode パスにはユーザー名やログイン ID などの機密情報が含まれている場合があるため、この問題は重大なものとなる可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 3.9.6、3.8.7 へのアップグレードをお勧めします。(CVE-2026-59739)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-59739

high Nessus プラグイン ID 346960

バージョン 1.1