Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - snappy-java は、Java 用の高速圧縮/解凍プログラムです。乗算がチェックされないため、1.1.10.1 より前のバージョンでは、整数オーバーフローが発生し、回帰不能な致命的なエラーが発生する可能性があります。ファイル「Snappy.java」内の関数「compress(char[] input)」は、文字配列を受け取り、圧縮します。これは、長さを 2 で乗算し、「rawCompress」関数に渡すことにより実行されます。長さがテストされないため、2 を乗算すると整数オーバーフローを引き起こし、負の値になる可能性があります。その後、rawCompress 関数は受信した長さをネイティブにコンパイルされた maxCompressedLength 関数に渡し、返された値を使用してバイト配列を割り当てます。maxCompressedLength 関数は長さを符号なし整数として扱うため、長さが負であることが考慮されず、Java エンジンによって符号付き整数にキャストされた有効な値として返します。その結果が負の場合、配列「buf」の割り当ての試行中に「java.lang.NegativeArraySizeException」の例外が発生します。
    一方、その結果が負の場合、「buf」配列は正常に割り当てられますが、そのサイズが小さすぎて圧縮に使用できず、致命的なアクセス違反エラーが発生する可能性があります。同じ問題が、double、float、int、long および short を受け取る「compress」関数を使用する場合にも発生し、それぞれが異なる乗数を使用しているため、同じ問題が発生する可能性があります。もともと、サイズ 0x80000000 (または他の負の値) のバイト配列を作成することは不可能であるため、バイト配列を使用する場合、この問題は発生しない可能性が高くなります。バージョン 1.1.10.1 には、この問題に対するパッチが含まれています。(CVE-2023-34454)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている IBM Engineering Requirements Management DOORS (旧 IBM Rational DOORS) のバージョンは、9.7.2.8 より前の 9.7.2.x です。したがって、7124058 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.9.1 より前の Apache Shiro、RegexRequestMatcher が誤って構成され、一部のサーブレットコンテナでバイパスされる可能性があります。正規表現で「.」を持つ RegExPatternMatcher を使用するアプリケーションは、認証バイパスに対して脆弱である可能性があります。(CVE-2022-32532)

  - Java OpenWire プロトコルマーシャラーは、リモートコード実行の脆弱性があります。この脆弱性により、Java ベースの OpenWire ブローカーまたはクライアントにネットワークアクセス権があるリモートの攻撃者が、OpenWire プロトコルのシリアル化されたクラスタイプを操作してクライアントまたはブローカーに (それぞれ) クラスパス上の任意のクラスをインスタンス化させることで、任意のシェルコマンドを実行する可能性があります。ユーザーには、ブローカーとクライアントの両方を、この問題を修正したバージョンであるバージョン 5.15.16、5.16.7、5.17.6、または 5.18.3 にアップグレードすることをお勧めします。
    (CVE-2023-46604)

  - 2.13.9 の前の Scala 2.13.x は、JAR ファイルに Java 逆シリアル化チェーンがあります。単独では悪用できません。アプリケーション内の Java オブジェクト逆シリアル化に関連するリスクのみがあります。このような状況では、攻撃者がガジェットチェーンを介して、任意のファイルのコンテンツを消去したり、ネットワーク接続を行ったり、任意のコード (特に、Function0 関数) を実行したりする可能性があります。(CVE-2022-36944)

  - IBM Engineering Requirements Management DOORS 9.7.2.7 は、クロスサイトリクエスト偽造に対して脆弱です。これにより、攻撃者が、Web サイトが信頼するユーザーから送信された悪意のある認証されていないアクションを実行する可能性があります。IBM X-Force ID: 251216. (CVE-2023-28949)

  - CKEditor 4.14 以前の 4.0 の HTML Data Processor のクロスサイトスクリプティング (XSS ) の脆弱性により、リモートの攻撃者が、細工された保護されたコメント (cke_protected 構文を使用 ) を使用して任意の Web スクリプトを挿入する可能性があります。(CVE-2020-9281)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
201209	Splunk Enterprise 9.0.0 < 9.0.9、9.1.0 < 9.1.4、9.2.0 < 9.2.1 (SVD-2024-0718)	Nessus	CGI abuses	2024/7/1	2024/7/2	critical
226857	Linux Distros のパッチ未適用の脆弱性: CVE-2023-34454	Nessus	Misc.	2025/3/5	2025/9/14	high
191754	IBM Engineering Requirements Management DOORS 9.7.2.x < 9.7.2.8 複数の脆弱性 (7124058)	Nessus	Windows	2024/3/8	2024/3/12	critical

検出

プラグインの検索

critical

high

critical