CentOS Linux 8.4 [TuxCare] セキュリティ更新プログラム:nginx/nginx-all-modules/nginx-filesystem/etcの複数の脆弱性(CENTOS8.4:CLSA-2026:1777883671)

high Nessus プラグイン ID 361843

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8.4 ホストには、TuxCare CENTOS8.4:CLSA-2026:1777883671アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- ngx_mail_auth_http_moduleモジュールがNGINX PlusまたはNGINX Open Sourceで有効になっているとき、公開されていないリクエストによってワーカープロセスが終了する可能性があります。この問題は、(1)CRAM-MD5 または APOP 認証が有効化されており、(2)認証サーバーが、Auth-Wait 応答ヘッダーを返すことにより再試行を許可している場合に発生することがあります。注: テクニカルサポートの終了 (EoTS) に達したソフトウェアのバージョンは評価されていません。(CVE-2026-27651)

- NGINX Open SourceおよびNGINX Plusには、ngx_http_mp4_moduleモジュールに脆弱性があるため、攻撃者がNGINXワーカーメモリに対するバッファオーバーリードまたはオーバーライトをトリガーし、特別に細工されたMP4ファイルを使用してNGINXワーカーメモリを終了させたり、コードを実行したりする可能性があります。この問題は、NGINX Open SourceとNGINX Plusがngx_http_mp4_moduleモジュールで構築されていて、構成ファイルでmp4ディレクティブが使用されている場合に影響します。また、この攻撃は、攻撃者が ngx_http_mp4_module モジュールで、特別に細工された MP4 ファイルの処理を発生させることができる場合のみ可能です。注: テクニカルサポートの終了 (EoTS) に達したソフトウェアのバージョンは評価されていません。(CVE-2026-32647)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。