リモートホストにインストールされているca-certificatesのバージョンは、2023.2.68-1より前のものです。したがって、ALAS2-2024-2607 のアドバイザリに記載されている脆弱性の影響を受けます。

    Certifi は、TLS ホストの ID を検証する際に、SSL 証明書の信頼性を検証するための、ルート証明書のキュレーションされたコレクションです。2021.05.30 から始まる、2024.07.4 より前の Certifi は、「GLOBALTRUST」からのルート証明書を認識しました。Certifi 2024.07.04 は、「GLOBALTRUST」のルート証明書をルートストアから削除します。これらは、Mozilla のトラストストアから削除される過程にあります。「GLOBALTRUST」のルート証明書は、長期にわたる未解決のコンプライアンス問題を特定した調査に従って、削除されています。(CVE-2024-39689)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、6.10.0.5 より前です。したがって、NXSA-AOS-6.10.0.5 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 安全でない一時ファイルを通じて権限昇格が可能になる脆弱性が GNU Nano で検出されました。編集中に Nano が強制終了された場合、実行中のユーザーの権限で緊急ファイルに保存されたファイルは、攻撃者が悪意のあるシンボリックリンクを通じて権限を昇格する機会を提供します。(CVE-2024-5742)

  - Performance Co-Pilot (PCP) に脆弱性が見つかりました。この欠陥により、攻撃者が特別に細工されたデータをシステムに送信し、プログラムの誤動作またはクラッシュを引き起こす可能性があります。(CVE-2024-45769)

  - Performance Co-Pilot (PCP) に脆弱性が見つかりました。この欠陥は、攻撃者が侵害された PCP システムアカウントへのアクセス権を持っている場合にのみ悪用される可能性があります。この問題は、システムにメッセージを記録するために使用される pmpost ツールに関連しています。特定の条件下では、高レベルの権限で実行されます。(CVE-2024-45770)

  - ipaddress モジュールに、特定の IPv4 アドレスおよび IPv6 アドレスがグローバルに到達可能なものなのかプライベートとして指定されているものなのかについて、正しくない情報が含まれていました。これは、ipaddress.IPv4Address クラス、ipaddress.IPv4Network クラス、ipaddress.IPv6Address クラス、ipaddress.IPv6Network クラスの is_private および is_global プロパティに影響を与えており、IANA Special-Purpose Address Registries の最新情報に従って値が返されていませんでした。CPython 3.12.4 および 3.13.0a6 にはこれらのレジストリからの更新された情報が含まれており、意図したとおりに動作します。(CVE-2024-4032)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出された Certifi python パッケージ certifi のバージョンは 2024.07.04より前です。したがって、GLOBALTRUST からの信頼されていないルート証明書が存在します。認証されていないリモート攻撃者はこれを悪用して、アプリケーション内で任意の権限を取得する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、6.10.1 より前です。したがって、NXSA-AOS-6.10.1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 1.0.6 までの bzip2 の decompress.c の BZ2_decompress に、セレクターが多い場合の領域外書き込みがあります。（CVE-2019-12900）

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21131)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) が権限なしで引き起こされる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21138)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ホットスポット)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u411、8u411-perf、11.0.23、17.0.11、21.0.3、22.0.1、Oracle GraalVM for JDK: 17.0.11、21.0.3、22.0.1、Oracle GraalVM Enterprise Edition: 20.3.14、21.3.10 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われる可能性があります。注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供するウェブサービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。(CVE-2024-21140)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、6.8.1.6 より前です。したがって、NXSA-AOS-6.8.1.6 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - libndp に脆弱性が見つかりました。この欠陥により、悪意のあるローカルユーザーが無効な形式の IPv6 ルーター広告パケットを送信することで、NetworkManager でバッファオーバーフローを引き起こす可能性があります。この問題は、libndp がルートの長さの情報を正しく検証していないために発生しました。(CVE-2024-5564)

  - 安全でない一時ファイルを通じて権限昇格が可能になる脆弱性が GNU Nano で検出されました。編集中に Nano が強制終了された場合、実行中のユーザーの権限で緊急ファイルに保存されたファイルは、攻撃者が悪意のあるシンボリックリンクを通じて権限を昇格する機会を提供します。(CVE-2024-5742)

  - Performance Co-Pilot (PCP) に脆弱性が見つかりました。この欠陥により、攻撃者が特別に細工されたデータをシステムに送信し、プログラムの誤動作またはクラッシュを引き起こす可能性があります。(CVE-2024-45769)

  - Performance Co-Pilot (PCP) に脆弱性が見つかりました。この欠陥は、攻撃者が侵害された PCP システムアカウントへのアクセス権を持っている場合にのみ悪用される可能性があります。この問題は、システムにメッセージを記録するために使用される pmpost ツールに関連しています。特定の条件下では、高レベルの権限で実行されます。(CVE-2024-45770)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている AOS のバージョンは、7.0 より前です。したがって、NXSA-AOS-7.0 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Squashfs-Tools 4.5の unsquash-2.c の squashfs_opendir により、ディレクトリトラバーサルが発生します。これは、CVE-2021-40153とは異なる脆弱性です。ファイルシステムの同じファイル名にシンボリックリンクやコンテンツを含むように細工された squashfs ファイルシステムにより、unsquashfs が最初に予期されたディレクトリの外部を指すシンボリックリンクを作成し、その後の書き込み操作により、ファイルシステムの他の場所でシンボリックリンクを介して unsquashfs プロセスが書き込みを行う可能性があります。(CVE-2021-41072)

  - 2.6.3 以前の libexpat で問題が発見されました。xmlparse.c の nextScaffoldPart では、32 ビット プラットフォーム (UINT_MAX が SIZE_MAX) で m_groupSize の整数オーバーフローが発生する可能性があります。(CVE-2024-45492)

  - 例外条件の不適切な処理、Apache Tomcat での制御されていないリソース消費の脆弱性。HTTP/2 ストリームを処理する際、Tomcat は場合によっては過剰な HTTP ヘッダーを適切に処理していませんでした。これにより、アクティブな HTTP/2 ストリームのカウントミスが発生し、不適切な無限タイムアウトの使用につながり、本来クローズされるべき接続がオープンのままになる可能性がありました。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.0-M20 まで、10.1.0-M1 から 10.1.24 まで、9.0.0-M1 から 9.0.89 まで。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.0-M21、10.1.25 または 9.0.90 へのアップグレードをお勧めします。(CVE-2024-34750)

  - libndp に脆弱性が見つかりました。この欠陥により、悪意のあるローカルユーザーが無効な形式の IPv6 ルーター広告パケットを送信することで、NetworkManager でバッファオーバーフローを引き起こす可能性があります。この問題は、libndp がルートの長さの情報を正しく検証していないために発生しました。(CVE-2024-5564)

  - 65.5.1以前の Python Packaging Authority (PyPA) setuptools では、リモート攻撃者が、細工されたパッケージまたはカスタム PackageIndex ページの HTML を介して、サービス拒否を引き起こす可能性があります。package_index.py に正規表現のサービス拒否 (ReDoS) があります。(CVE-2022-40897)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-599bb2cb73 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    2024.7.4 に更新してください。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-682 のアドバイザリに記載されている脆弱性の影響を受けます。

    Certifi は、TLS ホストの ID を検証する際に、SSL 証明書の信頼性を検証するための、ルート証明書のキュレーションされたコレクションです。2021.05.30 から始まる、2024.07.4 より前の Certifi は、「GLOBALTRUST」からのルート証明書を認識しました。Certifi 2024.07.04 は、「GLOBALTRUST」のルート証明書をルートストアから削除します。これらは、Mozilla のトラストストアから削除される過程にあります。「GLOBALTRUST」のルート証明書は、長期にわたる未解決のコンプライアンス問題を特定した調査に従って、削除されています。(CVE-2024-39689)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Certifi は、TLS ホストの ID を検証する際に、SSL 証明書の信頼性を検証するための、ルート証明書のキュレーションされたコレクションです。2021.5.30 から始まる、2024.7.4 より前の Certifi は、「GLOBALTRUST」からのルート証明書を認識しました。Certifi 2024.7.04 は、「GLOBALTRUST」のルート証明書をルートストアから削除します。これらを Mozilla のトラストストアから削除中です。
    「GLOBALTRUST」のルート証明書は、長期にわたる未解決のコンプライアンス問題を特定した調査に従って、削除されています。 （CVE-2024-39689）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
205712	Amazon Linux 2 : ca-certificates (ALAS-2024-2607)	Nessus	Amazon Linux Local Security Checks	2024/8/17	2024/12/11	high
213288	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.10.0.5)	Nessus	Misc.	2024/12/20	2025/7/22	medium
204790	Python Library Certifi < 2024.07.04 の信頼できないルート証明書	Nessus	Misc.	2024/7/26	2025/3/12	high
215141	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.10.1)	Nessus	Misc.	2025/2/7	2025/7/22	critical
213539	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-6.8.1.6)	Nessus	Misc.	2025/1/7	2025/7/22	medium
212124	Nutanix AOS : 複数の脆弱性 (NXSA-AOS-7.0)	Nessus	Misc.	2024/12/6	2025/7/22	medium
202455	Fedora 40: mingw-python-certifi (2024-599bb2cb73)	Nessus	Fedora Local Security Checks	2024/7/16	2025/2/13	high
205106	Amazon Linux 2023 : ca-certificates (ALAS2023-2024-682)	Nessus	Amazon Linux Local Security Checks	2024/8/6	2024/12/11	high
228346	Linux Distros のパッチ未適用の脆弱性: CVE-2024-39689	Nessus	Misc.	2025/3/5	2025/3/5	high

検出

プラグインの検索

high

medium

high

critical

medium

medium

high

high

high