Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Erlang OTP (inets モジュール) の不適切な認証の脆弱性により、script_alias 経由で提供された場合、ディレクトリルールにより保護されている CGI スクリプトに認証なしでアクセスすることが可能です。script_alias が URL プレフィックスを DocumentRoot 外のディレクトリにマップするとき、mod_auth は、DocumentRoot の相対パスに対するディレクトリベースのアクセス制御を評価します。一方、mod_cgi は、ScriptAlias が解決されたパスでスクリプトを実行します。このパスの不一致により、ディレクトリルールで保護されるべき CGI スクリプトに認証されずにアクセスすることが可能になります。この脆弱性は、プログラムファイル lib/inets/src/http_server/mod_alias.erl、lib/inets/src/http_server/mod_auth.erl、lib/inets/src/http_server/mod_cgi.erl に関連付けられています。この問題は、OTP 26.2.5.19、OTP 27.3.4.10、および OTP 28.4.2 より前の OTP 17.0からの OTP に影響を与えます。これは、9.1.0.6、9.3.2.4、9.6.2 より前の 5.10 からの inet に対応します。5.10 より前の inets に対応する、OTP 17.0 より前の OTP が影響を受けるかどうかは不明です。(CVE-2026-28808)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-dd4a7e240e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Erlang バージョン 26.2.5.19


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには、USN-8901-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Wander Nauta 氏は、zip アーカイブを抽出する際に、Erlang が絶対パスを不適切に処理することを発見しました。攻撃者がこの問題を利用して、意図されたディレクトリ外に任意のファイルに書き込む可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS のみです。(CVE-2025-4748)

    Erlang SFTP サーバーがパケットサイズを適切に制限していないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS のみです。
    (CVE-2025-26618)

    Erlang SSH サーバーがキー交換メッセージのアルゴリズム名の長さを適切に制限していないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS のみです。(CVE-2025-30211)

    Erlang TFTPサーバーが特定のファイルパスを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、意図されたディレクトリ外のファイルにアクセスする可能性があります。(CVE-2026-21620)

    Erlang SFTP サーバーが、構成されたルートディレクトリに対するパスを不適切に検証することが判明しました。認証されたユーザーがこの問題を悪用して、ルートディレクトリの外にあるファイルにアクセスする可能性があります。(CVE-2026-23942)

    Erlang SSH サーバーが、デフォルトで zlib 圧縮を有効にし、展開されたデータのサイズを制限しないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-23943)

    Erlang HTTP サーバーが、スクリプトエイリアス経由で提供される CGI スクリプトにディレクトリアクセスコントロールを不適切に適用していることが判明しました。リモートの攻撃者がこの問題を悪用して認証をバイパスし、保護されたCGIスクリプトにアクセスする可能性があります。(CVE-2026-28808)

    Erlang DNS リゾルバーが予測可能なトランザクション ID を使用し、送信元ポートをランダム化しなかったことが判明しました。リモートの攻撃者がこの問題を悪用して、DNSキャッシュポイズニング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-28810)

    Erlang は、指定された OCSP レスポンダー証明書の署名を検証していないことが判明しました。リモートの攻撃者がこの問題を利用して、OCSP 応答を偽造して証明書失効チェックをバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-32144)

    Erlang SFTP サーバーが、開いているファイルハンドルのファイル属性の変更を不適切に処理していることが判明しました。認証されたユーザーがこの問題を利用して、ルートディレクトリの外部にあるファイルの属性を変更する可能性があります。(CVE-2026-32147)

    Erlang が、CA 以外の証明書に中間証明書発行者としての役割を不適切に許可していたことが判明しました。リモートの攻撃者がこの問題を利用して、証明書チェーンを偽造する可能性があります。(CVE-2026-42789)

    Erlangがホスト名の検証中にDNS名の制約を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、証明書の検証をバイパスする可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-42790)

    ErlangがOCSPレスポンダー証明書の有効期間をチェックしていなかったことがわかりました。リモートの攻撃者がこの問題を利用して、期限切れのレスポンダー証明書を使用してOCSP応答を偽造する可能性があります。
    この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-42791)

    Erlang が zip アーカイブを展開する際に相対パスを不適切に処理していることが判明しました。攻撃者がこの問題を利用して、意図されたディレクトリ外に任意のファイルに書き込む可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-47078)

    Erlang SFTP サーバーがシンボリックリンクを読み取る際に、絶対パスを開示することが判明しました。認証されたユーザーがこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2026-48855)

    Erlang HTTP クライアントが認証ヘッダーをクロスオリジンリダイレクトで転送することが判明しました。悪意のある HTTP サーバーがこの問題を利用して、機密情報を取得する可能性があります。(CVE-2026-48856)

    Erlang FTP クライアントが、パッシブモードの応答で IP アドレスを検証しないことが判明しました。悪意のある FTP サーバーがこの問題を利用して、サーバー側リクエスト偽造攻撃を実行する可能性があります。
    (CVE-2026-48858)

    Erlangが、TLS経由の配布に対して許可リストを実施するとき、ピアアドレスではなくローカルアドレスをチェックすることがわかりました。リモートの攻撃者が、この問題を利用して、アクセス制限をバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-48860)

    Erlang が特定の SCTP ERROR チャンクを不適切に処理し、バッファオーバーフローを引き起こすことが判明しました。
    リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2026-49759)

    Erlang erl_interfaceライブラリが非常に大きな整数の印刷を不適切に処理するため、バッファオーバーフローが発生することが判明しました。攻撃者がこの問題を悪用して、Erlangをクラッシュさせたり、任意のコードを実行したりする可能性があります。(CVE-2026-49760)

    Erlang SFTP サーバーが特定のパス解決リクエストを不適切に処理していることが判明しました。認証されたユーザーがこの問題を利用して、ルートディレクトリの外にあるファイルの存在を判断する可能性があります。(CVE-2026-53422)

    Erlang SFTP サーバーが拡張チャネルデータを不適切に処理し、無限ループにつながることが判明しました。認証されたユーザーがこの問題を利用して、サービス拒否を引き起こす可能性があります。
    (CVE-2026-54886)

    Erlang DTLS サーバーが起動時に、予測可能なクッキーシークレットを使用することが判明しました。リモートの攻撃者がこの問題を悪用して、ソースアドレスの検証をバイパスする可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-54887)

    ハンドシェイクが完了する前に、Erlang TLS クライアントがアプリケーションデータを不適切に受け入れることが判明しました。リモートの攻撃者がこの問題を悪用して、TLS接続に任意のデータを挿入する可能性があります。
    (CVE-2026-54891)

    Erlang DTLS サーバーに、クライアントの高速再接続を処理する際の競合状態があることが判明しました。リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 26.04 LTS のみです。(CVE-2026-55950)

    Erlang が事前共有鍵拡張 1.3 TLSを適切に検証しないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。
    (CVE-2026-55952)

    Erlang ASN.1デコーダが特定のオブジェクト識別子を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-65634)

    Erlang SSH サーバーが、オープンチャネルの数を適切に制限していないことが判明しました。認証されたユーザーがこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-68956)

    Erlang HTTP サーバーが、dets または mnesia 認証バックエンドを使用する際に、ディレクトリ間でユーザーおよびグループを不適切に共有していることが判明しました。リモートの攻撃者がこの問題を悪用して認証をバイパスし、保護されたディレクトリにアクセスする可能性があります。(CVE-2026-74994)

    Erlang TLS クライアントがサーバーからの事前共有鍵 1.3 未承諾のTLSを不適切に受け入れることが判明しました。リモートの攻撃者がこの問題を利用して、サーバーになりすます可能性があります。この問題は、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および Ubuntu 26.04 LTS にのみ影響を与えます。(CVE-2026-89422)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-53a7ddccc8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Erlang バージョン 26.2.5.19


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20607-1 アドバイザリで言及されています。

    セキュリティの問題を修正:

    - CVE-2026-21620: 不適切な分離とコンパートメント化により、TFTP 相対パストラバーサルとリモートの任意の読み取り/書き込みが引き起こされる可能性があります (bsc#1258663)。
    - CVE-2026-23941: Erlang OTP で重複する Content-Length ヘッダーが不適切に処理されているため、HTTP リクエストがスマグリングされる可能性があります (bsc#1259687)。
    - CVE-2026-23942: SFTP サーバーの制限されたディレクトリに対するパス名の制限が不適切なために、パストラバーサルが発生する可能性があります (bsc#1259681)。
    - CVE-2026-23943: Erlang OTP ssh の高度に圧縮されたデータの不適切な処理により、サービス拒否が引き起こされる可能性があります (bsc#1259682)。
    - CVE-2026-28808: 不適切な承認により、保護された CGI スクリプトへの認証されないアクセスが引き起こされる可能性があります (bsc#1261728)。
    - CVE-2026-28810: 予測可能な DNS トランザクション ID が、DNS キャッシュポイズニングを引き起こす可能性があります (bsc#1261726)。
    - CVE-2026-32144: 署名認証がないために、OCSP 認証のバイパスと情報漏洩が発生する可能性があります (bsc#1261734)。

    その他の更新およびバグ修正:

    - jinterface: 決定性 OtpErlang.jar の構築を許可します (bsc#1262288)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1714-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-21620: TFTP 相対パストラバーサルによるリモートの任意の読み取り/書き込み (bsc#1258663)。
    - CVE-2026-23941: Erlang OTP の HTTP リクエストスマグリング (bsc#1259687)。
    - CVE-2026-23942: Erlang OTP のパストラバーサルの脆弱性 (bsc#1259681)。
    - CVE-2026-23943: Erlang OTP ssh の高度に圧縮されたデータの不適切な処理によるサービス拒否 (bsc#1259682)。
    - CVE-2026-28808: 不適切な承認により、保護された CGI スクリプトへの認証されないアクセスが引き起こされる可能性があります (bsc#1261728)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6464 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6464-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : erlang CVE ID : CVE-2026-28808 CVE-2026-28810 CVE-2026-32144 CVE-2026-32147 CVE-2026-42789 CVE-2026-42790 CVE-2026-42791 CVE-2026-42792 CVE-2026-47078 CVE-2026-48855 CVE-2026-48856 CVE-2026-48858 CVE-2026-48860 CVE-2026-49759 CVE-2026-49760 CVE-2026-53422 CVE-2026-54886 CVE-2026-54887 CVE-2026-54890 CVE-2026-54891 CVE-2026-55737 CVE-2026-55950 CVE-2026-55952 CVE-2026-55953 CVE-2026-58227 CVE-2026-59250 CVE-2026-59251 Debian バグ : 1139727 1139823 1141414 1142985

    同時、リアルタイムの分散関数型言語である Erlang/OTP に、複数の脆弱性が発見されました。これにより、サービス拒否、情報漏洩、認証および証明書検証のバイパス、または任意のコードの実行が引き起こされる可能性があります。これらの脆弱性は、広範囲のコンポーネントに影響を与えます: TLS および証明書検証 (ssl、public_key)、SSH (ssh)、ネットワーククライアントおよびサーバー (inets、ftp、epmd、kernel)、ランタイムおよびライブラリ (erts、erl_interface、stdlib、megaco)。

    これらの修正のうちいくつかは、以前は緩すぎたチェックを厳格化したものであり、その結果、以前は正常に動作していた設定が動作しなくなる可能性があります。特に目につきやすいのは、次のとおりです。

     - デフォルトである verify_peer を使用する TLS クライアントは、subjectAltName 拡張子がない証明書を拒否するようになりました。customize_hostname_check オプションでは、以前の動作は復元されません。

     - カーネル「check_ip」オプションで TLS に Erlang ディストリビューションを行うと、以前は no-op だったチェックが強制されるようになりました。そのため、ノードが同じサブネット上にないクラスターは、オプションが設定解除されるまでディストリビューション接続を失います。

     - OCSP ステープリングをリクエストする TLS クライアントは、サーバーがステープルされた応答を提供しない場合、ハンドシェイクに失敗するようになりました。

     - TLS 1.2 以前を使用するクライアントは、クライアントがアドバタイズしていない ALPN 拡張をサーバーが送信する場合に、ハンドシェイクを中止するようになりました。

     - inet_res を介して作成された DNS クエリは、ランダム化されたソースポートを使用するようになりました

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 1:27.3.4.1+dfsg-1+deb13u3 で修正されています。

    お使いのerlangパッケージをアップグレードすることを推奨します。

    erlang の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/erlang

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-2a93359b0b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Erlang バージョン 26.2.5.19


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
305625	Linux Distros のパッチ未適用の脆弱性: CVE-2026-28808	Nessus	Misc.	2026/4/8	2026/9/9	high
306617	Fedora 42 : erlang (2026-dd4a7e240e)	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/27	high
365371	Ubuntu 14.04 LTS/ 16.04 LTS/ 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS:Erlangの脆弱性(USN-8901-1)	Nessus	Ubuntu Local Security Checks	2026/10/13	2026/10/13	critical
306606	Fedora 43 : erlang (2026-53a7ddccc8)	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/27	high
310082	openSUSE 16 セキュリティ更新 : erlang (openSUSE-SU-2026:20607-1)	Nessus	SuSE Local Security Checks	2026/4/24	2026/4/24	high
313669	SUSE SLES15 セキュリティ更新 : erlang (SUSE-SU-2026:1714-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	high
339216	Debian dsa-6464 : erlang - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/25	2026/8/25	critical
310543	Fedora 44 : erlang (2026-2a93359b0b)	Nessus	Fedora Local Security Checks	2026/4/27	2026/4/27	high

検出

プラグインの検索

high

high

critical

high

high

high

critical

high