Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - erlang rebar3 における制限されたディレクトリへのパス名の不適切な制限(「パストラバーサル」)の脆弱性により、開発者が依存関係をフェッチする際に、悪意のあるパッケージパブリッシャーがプロジェクトの _build ディレクトリ外のディレクトリを削除し、そこにパッケージファイルを抽出する可能性があります。Hex レジストリのパッケージリリースの依存関係には、依存関係の OTP アプリケーションに名前を付けるアプリフィールドがあります。rebar3 は、このフィールドを検証せずに依存関係の名前として使用し(rebar_packages:parse_deps/1)、その名前から依存関係のディレクトリを構築します(rebar_app_utils:dep_to_app/7)。rebar_fetch:download_source_online/2 は rm -rf を持つそのディレクトリを削除し、フェッチしたパッケージをそのディレクトリに移動します。hex.pm は 2026 年 10 月 12 日より前にフィールドをディレクトリ名に制限していなかったため、発行元が .. などの値に設定する可能性があります。/../../../targetです。プロジェクトが直接または推移的にそのようなリリースに依存している場合、rebar3 get-depsは名前が解決されるディレクトリを削除し、そこに依存関係のファイルを書き込みます。これは依存関係自体のrebar.config.scriptを評価する前に発生し、get-depsは何もコンパイルしません。この問題は、rebar3:より前の3.7.0-rc1から 3.27.2に影響を与えます。(CVE-2026-103060)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-103060

high Nessus プラグイン ID 366824

バージョン 1.2