リモートのDebian 13ホストには、dsa-6478アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6478-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 8 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:starlette CVE ID: CVE-2026-48817 CVE-2026-54282 CVE-2026-54283 Debian バグ:1140631 1140632

    軽量 ASGI フレームワーク/ツールキットである starlette に、いくつかの脆弱性が発見されました。これにより、承認チェックのバイパスまたはサービス拒否が発生する可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 0.46.1-3+deb13u3 で修正されています。

    starlette パッケージをアップグレードすることを推奨します。

    starlette の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/starlette

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、12.1.3 FP2 より前の12.1.xです。したがって、IBMセキュリティ情報第7287209号に記載されている複数の脆弱性の影響を受けます。これらの脆弱性は、新機能と更新されたソフトウェアスタックによるバージョン 12.1.3 にのみ適用されます。

  - Apache OpenNLP ExtensionLoader のモデルマニフェストによる任意のクラスのインスタンス化。ExtensionLoader.instantiateExtension() メソッドは、Class.forName() を介して完全修飾名でクラスをロードし、モデルアーカイブの manifest.properties エントリをソースしたクラス名で引数なしのコンストラクターを呼び出します。細工されたモデルアーカイブを提供できる攻撃者が、モデルのロード中にクラスパス上のクラスの静的初期化子を実行させる可能性があります。
    (CVE-2026-42027)

  - Apache OpenNLP DictionaryEntryPersistor でのサニタイズされていない辞書解析による XML 外部エンティティ(XXE)。悪意ある DOCTYPE 宣言を含む細工された辞書ファイルを供給できる攻撃者が、SAX 解析中の file:// エンティティ参照 http:// またはサーバー側のリクエスト偽造を介して、ローカルファイルの漏洩を発生させる可能性があります。(CVE-2026-40682)

  - activemq-http モジュールがクラスパス上にある場合、認証された攻撃者が、BrokerView.addNetworkConnector または Jolokia を介した BrokerView.addConnector を介した HTTP Discovery トランスポートを使用するコネクタを追加することで、 CVE-2026-34197 における修正をバイパスし、Apache ActiveMQブローカーの JVM で任意のコードを実行する可能性があります。(CVE-2026-40466)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、DLA-4711アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4711-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年8月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:starlette バージョン:0.26.1-1+deb12u2 CVE ID: CVE-2026-48817 CVE-2026-54282 CVE-2026-54283 Debian バグ:1140631 1140632

    軽量な ASGI(Asynchronous Server Gateway Interface)フレームワーク/ツールキットである starlette で、複数の脆弱性が見つかりました。

    CVE-2026-48817

       HTTPEndpointサブクラスが明示的なメソッド引数なしでRoute()を介して登録され、ルートがメソッドを制約せず、すべてのメソッドがエンドポイントに到達する場合に、脆弱性があります。

    CVE-2026-54282

       request.urlの再構築に使用される前にHTTPリクエストパスが検証されない脆弱性があり、request.url.hostnameとrequest.url.netlocを汚染する可能性があります。

    CVE-2026-54283

       request.form() の max_fields と max_part_size の制限は、multipart/form-data に対して適用されますが、application/x-www-form-urlencoded に対しては無視されます。

    Debian 12 bookworm では、これらの問題はバージョン 0.26.1-1+deb12u2 で修正されました。

    starlette パッケージをアップグレードすることを推奨します。

    starlette の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/starlette

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Starlette は軽量の ASGI フレームワーク/ツールキットです。0.4.1から1.3.1まで、request.form() はフォームデータを解析しながら、max_fieldsを受け取り、リソース消費をmax_part_sizeします。これらの制限は、multipart/form-data に対して適用されますが、application/x-www-form-urlencoded に対しては無視されます。このため、認証されていない攻撃者が、アプリケーション構成の制限が適用されると思われる場合でも、任意の大きなフィールド数または任意の大きなフィールドを持つ urlencode された本文を送信する可能性があります。この脆弱性は 1.3.1 で修正されました。(CVE-2026-54283)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
341609	Debian dsa-6478:python3-starlette - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/30	2026/8/30	medium
347959	IBM Cognos Analytics 12.1.x < 12.1.3 FP2 の複数の脆弱性 (7287209)	Nessus	CGI abuses	2026/9/18	2026/9/21	high
331605	Debian DLA-4711:python3-starlette - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/2	2026/8/2	medium
322131	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54283	Nessus	Misc.	2026/6/22	2026/9/17	high

検出

プラグインの検索

medium

high

medium

high