CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1778142227アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nginxリゾルバーのセキュリティ問題が識別されました。DNSサーバーからのUDPパケットを偽造できる攻撃者が、1バイトのメモリの上書きを引き起こし、ワーカープロセスのクラッシュまたはその他の影響を与える可能性があります。（CVE-2021-23017）

  - ALPACA は、異なるプロトコルを実装しているが、マルチドメイン証明書やワイルドカード証明書などの互換性のある証明書を使用している TLS サーバーを悪用する、アプリケーションレイヤープロトコルのコンテンツ混乱攻撃です。TCP / IP レイヤーで被害者のトラフィックにアクセスできる MiTM 攻撃者が、トラフィックをあるサブドメインから別のサブドメインにリダイレクトし、有効な TLS セッションを引き起こす可能性があります。これにより、TLS の認証が破られ、クロスプロトコル攻撃が発生する可能性があります。これにより、1 つのプロトコルサービスの動作が、アプリケーション層で他のサービスを侵害する可能性があります。(CVE-2021-3618)

  - ngx_mail_auth_http_moduleモジュールがNGINX PlusまたはNGINX Open Sourceで有効になっているとき、公開されていないリクエストによってワーカープロセスが終了する可能性があります。この問題は、(1)CRAM-MD5 または APOP 認証が有効化されており、(2)認証サーバーが、Auth-Wait 応答ヘッダーを返すことにより再試行を許可している場合に発生することがあります。注: テクニカルサポートの終了 (EoTS) に達したソフトウェアのバージョンは評価されていません。(CVE-2026-27651)

  - NGINX Open SourceおよびNGINX Plusには、ngx_http_mp4_moduleモジュールに脆弱性があるため、攻撃者がNGINXワーカーメモリに対するバッファオーバーリードまたはオーバーライトをトリガーし、特別に細工されたMP4ファイルを使用してNGINXワーカーメモリを終了させたり、コードを実行したりする可能性があります。この問題は、NGINX Open SourceとNGINX Plusがngx_http_mp4_moduleモジュールで構築されていて、構成ファイルでmp4ディレクティブが使用されている場合に影響します。また、この攻撃は、攻撃者が ngx_http_mp4_module モジュールで、特別に細工された MP4 ファイルの処理を発生させることができる場合のみ可能です。注: テクニカルサポートの終了 (EoTS) に達したソフトウェアのバージョンは評価されていません。(CVE-2026-32647)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

CentOS Linux 8 [TuxCare] セキュリティ更新プログラム:nginx/nginx-all-modules/nginx-filesystem/etcの複数の脆弱性(CENTOS-STREAM8:CLSA-2026:1778142227)

high Nessus プラグイン ID 352761

変更ログが見つかりません