Linux Distros のパッチ未適用の脆弱性: CVE-2026-106452

medium Nessus プラグイン ID 363800

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- yawkat LZ4 Java は、Java 用の LZ4 圧縮を提供します。1.11.2より前に、net.jpountz.lz4.LZ4BlockInputStream refill()は、レガシーLZ4BlockヘッダーのcompressedLenフィールドが非負であることを検証しますが、ペイロードデータを読み込む前にその攻撃者が制御するサイズの圧縮入力バッファを割り当てます。これにより、ヘッダーのみのストリームが2GiB近くの割り当てをリクエストし、JVMヒープを使い果たすことが可能になります。正規の書き込み者は、圧縮が元のブロックより小さくない場合に raw ブロックを出力しますが、脆弱なリーダーは非正規のオーバーサイズの圧縮ブロックを受け入れます。この問題はバージョン 1.11.2 で修正されています。(CVE-2026-106452)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://access.redhat.com/security/cve/cve-2026-106452

プラグインの詳細

深刻度: Medium

ID: 363800

ファイル名: unpatched_CVE_2026_106452.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2026/10/7

更新日: 2026/10/7

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus