Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Mechanize ライブラリは、Web サイトとの対話を自動化するために使用されます。2.14.1の前に、Mechanize はHTTPリダイレクトの後、呼び出し元指定の認証情報ヘッダーを別のホストに送信します。Mechanize::HTTP::Agent#response_redirect がリクエストごとのヘッダーを取り去り、保護されたヘッダーリストが Proxy-Authorization と Cookie2 を省略した後でも、Mechanize::HTTP::Agent#request_add_headers によって Mechanize#request_headers= が再適用されます。リダイレクトターゲットを制御する攻撃者は、request_headers=またはリクエストごとのヘッダー引数を通じて提供されたベアラートークンまたはセッションCookieをキャプチャできますが、Mechanize#cookie_jarおよびMechanize::HTTP::AuthStoreは影響を受けません。この問題はバージョン 2.14.1 で修正されています。(CVE-2026-107715)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-107715

medium Nessus プラグイン ID 364392

バージョン 1.1