リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには、USN-8901-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Wander Nauta 氏は、zip アーカイブを抽出する際に、Erlang が絶対パスを不適切に処理することを発見しました。攻撃者がこの問題を利用して、意図されたディレクトリ外に任意のファイルに書き込む可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS のみです。(CVE-2025-4748)

    Erlang SFTP サーバーがパケットサイズを適切に制限していないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS のみです。
    (CVE-2025-26618)

    Erlang SSH サーバーがキー交換メッセージのアルゴリズム名の長さを適切に制限していないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS のみです。(CVE-2025-30211)

    Erlang TFTPサーバーが特定のファイルパスを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、意図されたディレクトリ外のファイルにアクセスする可能性があります。(CVE-2026-21620)

    Erlang SFTP サーバーが、構成されたルートディレクトリに対するパスを不適切に検証することが判明しました。認証されたユーザーがこの問題を悪用して、ルートディレクトリの外にあるファイルにアクセスする可能性があります。(CVE-2026-23942)

    Erlang SSH サーバーが、デフォルトで zlib 圧縮を有効にし、展開されたデータのサイズを制限しないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-23943)

    Erlang HTTP サーバーが、スクリプトエイリアス経由で提供される CGI スクリプトにディレクトリアクセスコントロールを不適切に適用していることが判明しました。リモートの攻撃者がこの問題を悪用して認証をバイパスし、保護されたCGIスクリプトにアクセスする可能性があります。(CVE-2026-28808)

    Erlang DNS リゾルバーが予測可能なトランザクション ID を使用し、送信元ポートをランダム化しなかったことが判明しました。リモートの攻撃者がこの問題を悪用して、DNSキャッシュポイズニング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-28810)

    Erlang は、指定された OCSP レスポンダー証明書の署名を検証していないことが判明しました。リモートの攻撃者がこの問題を利用して、OCSP 応答を偽造して証明書失効チェックをバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-32144)

    Erlang SFTP サーバーが、開いているファイルハンドルのファイル属性の変更を不適切に処理していることが判明しました。認証されたユーザーがこの問題を利用して、ルートディレクトリの外部にあるファイルの属性を変更する可能性があります。(CVE-2026-32147)

    Erlang が、CA 以外の証明書に中間証明書発行者としての役割を不適切に許可していたことが判明しました。リモートの攻撃者がこの問題を利用して、証明書チェーンを偽造する可能性があります。(CVE-2026-42789)

    Erlangがホスト名の検証中にDNS名の制約を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、証明書の検証をバイパスする可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-42790)

    ErlangがOCSPレスポンダー証明書の有効期間をチェックしていなかったことがわかりました。リモートの攻撃者がこの問題を利用して、期限切れのレスポンダー証明書を使用してOCSP応答を偽造する可能性があります。
    この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-42791)

    Erlang が zip アーカイブを展開する際に相対パスを不適切に処理していることが判明しました。攻撃者がこの問題を利用して、意図されたディレクトリ外に任意のファイルに書き込む可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-47078)

    Erlang SFTP サーバーがシンボリックリンクを読み取る際に、絶対パスを開示することが判明しました。認証されたユーザーがこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2026-48855)

    Erlang HTTP クライアントが認証ヘッダーをクロスオリジンリダイレクトで転送することが判明しました。悪意のある HTTP サーバーがこの問題を利用して、機密情報を取得する可能性があります。(CVE-2026-48856)

    Erlang FTP クライアントが、パッシブモードの応答で IP アドレスを検証しないことが判明しました。悪意のある FTP サーバーがこの問題を利用して、サーバー側リクエスト偽造攻撃を実行する可能性があります。
    (CVE-2026-48858)

    Erlangが、TLS経由の配布に対して許可リストを実施するとき、ピアアドレスではなくローカルアドレスをチェックすることがわかりました。リモートの攻撃者が、この問題を利用して、アクセス制限をバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTSのみです。(CVE-2026-48860)

    Erlang が特定の SCTP ERROR チャンクを不適切に処理し、バッファオーバーフローを引き起こすことが判明しました。
    リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2026-49759)

    Erlang erl_interfaceライブラリが非常に大きな整数の印刷を不適切に処理するため、バッファオーバーフローが発生することが判明しました。攻撃者がこの問題を悪用して、Erlangをクラッシュさせたり、任意のコードを実行したりする可能性があります。(CVE-2026-49760)

    Erlang SFTP サーバーが特定のパス解決リクエストを不適切に処理していることが判明しました。認証されたユーザーがこの問題を利用して、ルートディレクトリの外にあるファイルの存在を判断する可能性があります。(CVE-2026-53422)

    Erlang SFTP サーバーが拡張チャネルデータを不適切に処理し、無限ループにつながることが判明しました。認証されたユーザーがこの問題を利用して、サービス拒否を引き起こす可能性があります。
    (CVE-2026-54886)

    Erlang DTLS サーバーが起動時に、予測可能なクッキーシークレットを使用することが判明しました。リモートの攻撃者がこの問題を悪用して、ソースアドレスの検証をバイパスする可能性があります。この問題は、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および 26.04 LTS にのみ影響を与えます。
    (CVE-2026-54887)

    ハンドシェイクが完了する前に、Erlang TLS クライアントがアプリケーションデータを不適切に受け入れることが判明しました。リモートの攻撃者がこの問題を悪用して、TLS接続に任意のデータを挿入する可能性があります。
    (CVE-2026-54891)

    Erlang DTLS サーバーに、クライアントの高速再接続を処理する際の競合状態があることが判明しました。リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 26.04 LTS のみです。(CVE-2026-55950)

    Erlang が事前共有鍵拡張 1.3 TLSを適切に検証しないことが判明しました。リモートの攻撃者がこの問題を悪用してErlangをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。
    (CVE-2026-55952)

    Erlang ASN.1デコーダが特定のオブジェクト識別子を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-65634)

    Erlang SSH サーバーが、オープンチャネルの数を適切に制限していないことが判明しました。認証されたユーザーがこの問題を悪用してErlangに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-68956)

    Erlang HTTP サーバーが、dets または mnesia 認証バックエンドを使用する際に、ディレクトリ間でユーザーおよびグループを不適切に共有していることが判明しました。リモートの攻撃者がこの問題を悪用して認証をバイパスし、保護されたディレクトリにアクセスする可能性があります。(CVE-2026-74994)

    Erlang TLS クライアントがサーバーからの事前共有鍵 1.3 未承諾のTLSを不適切に受け入れることが判明しました。リモートの攻撃者がこの問題を利用して、サーバーになりすます可能性があります。この問題は、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および Ubuntu 26.04 LTS にのみ影響を与えます。(CVE-2026-89422)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3645-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-28810:予測可能な DNS トランザクション ID により、DNSキャッシュポイズニング(bsc#1261726)を引き起こす可能性があります。
    - CVE-2026-42789:「public_key」アプリケーションは、CA以外の証明書を中間発行者として受け入れ、これがチェーン偽造(bsc#1266449)を有効にします。
    - CVE-2026-42790:TLS ホスト名検証の名前制約および「サブジェクト CommonName」フォールバックにより、MITM 攻撃者による証明書偽造が可能になります(bsc#1266466)。
    - CVE-2026-42792:例外的な状態の不適切な処理による接続スロットの枯渇による永続的な「epmd」DoS(bsc#1272908)。
    - CVE-2026-47078:「check_dir_level」デプスカウンターバイパスによる「zip:unzip/zip:extract」での相対パストラバーサル(bsc#1272909)。
    - CVE-2026-48855:root が構成された場合、SFTP「READLINK」応答が絶対バックエンドファイルシステムパスを漏洩します(bsc#1268139)。
    - CVE-2026-48856:「httpc」が「Authorization」ヘッダーをクロスオリジンリダイレクトターゲットに漏洩します(bsc#1268141)。
    - CVE-2026-48858:サーバー側のリクエスト偽造により、検証されていない「PASV」応答 IP アドレス(bsc#1268142)を介した、FTP バウンス攻撃と SSRF が可能です。
    - CVE-2026-49759:SCTP における際限のないスタックバッファオーバーフローにより、「inet_drv」での解析が発生します(bsc#1268163)。
    - CVE-2026-49760:非常に大きな整数(bsc#1268164)の「ei_s_print_term」におけるスタックバッファオーバーフロー。
    - CVE-2026-53422:SFTP「REALPATH」path-existence oracle により、構成されたルート(bsc#1270245)外側でファイルシステムを列挙できます。
    - CVE-2026-54886:拡張チャネルデータの無限ループ(bsc#1270246)による SFTP サーバーのサービス拒否SSH。
    - CVE-2026-54887:デフォルトの暗号化キーを使用すると、起動ウィンドウ(bsc#1270247)中に予測可能な DTLS クッキーの計算が可能になります。
    - CVE-2026-54891:ハンドシェイク中の(D)TLSクライアントに対する平文インジェクション(bsc#1270250)。
    - CVE-2026-55737:「erts」外部用語フォーマットデコーダーにおける「LARGE_TUPLE_EXTP」デコーディングの符号付き/符号なしの不一致によるヒープポインター破損(bsc#1272910)。
    - CVE-2026-55952:検証の欠如により、クライアントが一致しない PSK ID とバインダーリストの長さを持つ無効な形式の「ClientHello」を送信するとき、TLS-1.3 サーバーの DoS が可能になります(bsc#1270258)。
    - CVE-2026-55953:TLS 1.2 および DTLS クライアントが、提供されていない匿名暗号化パッケージを受け入れ、サーバー認証バイパス(bsc#1272911)を許します。
    - CVE-2026-58227:クロス署名されたピア証明書チェーン(bsc#1272913)の際の無限再帰による TLS/DTLS のサービス拒否。
    - CVE-2026-59250:オーバーサイズプロパティパラメーター名経由の「megaco」flex スキャナーのバッファオーバーフロー(bsc#1272914)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-dcf80dc1ff のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2026-48858(ftp SSRF)、CVE-2026-49759(SCTP DoS)、CVE-2026-48860(dist-over-TLS 認証バイパス)、CVE-2026-54886(ssh SFTP DoS)、CVE-2026-54891(TLSハンドシェイクデータインジェクション)、CVE-2026-55952(TLS 1.3 セッションチケット DoS)の修正をバックポートします。これらは OTP 27.x (rawhide/f45)で Upstream を修正されています。
    ここで OTP 26.x 行にバックポートされました。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 通信チャネルで送信中のメッセージ整合性の不適切な強制 Erlang/OTP SSL(tls_gen_connection モジュール)の脆弱性により、ネットワークに配置された攻撃者が、後で TLS クライアントアプリケーションが認証済みサーバーデータとして処理する認証されていない平文を注入することが可能です。関数 tls_gen_connection:handle_protocol_record/3 は、TLSエンドポイントがサーバーとして機能する場合、ハンドシェイク前の状態で到着したAPPLICATION_DATAレコードを拒否しますが、エンドポイントがクライアントとして機能する場合、同じチェックを適用しません。ネットワークに配置された攻撃者が、ハンドシェイク中に平文APPLICATION_DATAレコードをクライアントに送信する可能性があります。レコードはバッファリングされ、ハンドシェイクが正常に完了すると、認証されたハンドシェイク後データであるかのようにアプリケーションに配信されます。攻撃者はクライアントの応答を観察したり接続を操縦したりすることができないため、影響は認証されていないバイトのブラインドインジェクションに限定されます。
    インジェクションウィンドウは、TLS 1.3 より前の TLS バージョンの方が TLS 1.3 よりも広くなります。この脆弱性は、プログラムファイル lib/ssl/src/tls_gen_connection.erl に関連付けられています。TLS1.3は、TLS 1.3サポートが追加された OTP 22.0 以降、影響を受けます。この問題は、OTP 27.3.4.14 より前の OTP 17.0、OTP 28.5.0.3 より前の OTP 28.0、OTP 29.0.3 より前の OTP 29.0からの OTP に影響を与えます。これは、11.2.12.10 より前の 5.3.4、11.6.0.3 より前の 11.3、11.7.3 より前の 11.7 からの ssl に対応します。5.3.4 より前の ssl に対応する、OTP 17.0 より前の OTP が影響を受けるかどうかは不明です。(CVE-2026-54891)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Erlang/OTP のバージョンは、27.3.4.14 より前の 17.0、28.5.0.3 より前の 28.0、または 29.0.3 より前の 29.0 です。そのため、以下の複数の脆弱性の影響を受けます。

  - Erlang OTP ssh (ssh_sftpd モジュール) の観測可能な応答不一致の脆弱性により、認証された SFTP ユーザーが、構成されたルートディレクトリ外にあるファイルやディレクトリの存在を列挙できる可能性があります。
    (CVE-2026-53422)

  - Erlang OTP ssh (ssh_sftpd モジュール) の到達不能な終了条件によるループ (「無限ループ」) の脆弱性により、認証された SFTP ユーザーが SFTP チャネルを永続的に応答不能にする可能性があります。(CVE-2026-54886)

  - Erlang/OTP ssl (tls_gen_connection モジュール) の通信チャネルで送信中のメッセージ整合性の不適切な適用の脆弱性により、ネットワーク上の攻撃者が、TLS クライアントアプリケーションによって後に認証済みサーバーデータとして扱われる認証されていない平文を挿入する可能性があります。(CVE-2026-54891)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-965be97ac0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2026-48858(ftp SSRF)、CVE-2026-49759(SCTP DoS)、CVE-2026-48860(dist-over-TLS 認証バイパス)、CVE-2026-54886(ssh SFTP DoS)、CVE-2026-54891(TLSハンドシェイクデータインジェクション)、CVE-2026-55952(TLS 1.3 セッションチケット DoS)の修正をバックポートします。これらは OTP 27.x (rawhide/f45)で Upstream を修正されています。
    ここで OTP 26.x 行にバックポートされました。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3579-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-28810:予測可能な DNS トランザクション ID により、DNSキャッシュポイズニング(bsc#1261726)を引き起こす可能性があります。
    - CVE-2026-42789:「public_key」アプリケーションは、CA以外の証明書を中間発行者として受け入れ、これがチェーン偽造(bsc#1266449)を有効にします。
    - CVE-2026-42790:TLS ホスト名検証の名前制約および「サブジェクト CommonName」フォールバックにより、MITM 攻撃者による証明書偽造が可能になります(bsc#1266466)。
    - CVE-2026-42792:例外的な状態の不適切な処理による接続スロットの枯渇による永続的な「epmd」DoS(bsc#1272908)。
    - CVE-2026-47078:「check_dir_level」デプスカウンターバイパスによる「zip:unzip/zip:extract」での相対パストラバーサル(bsc#1272909)。
    - CVE-2026-48855:root が構成された場合、SFTP「READLINK」応答が絶対バックエンドファイルシステムパスを漏洩します(bsc#1268139)。
    - CVE-2026-48856:「httpc」が「Authorization」ヘッダーをクロスオリジンリダイレクトターゲットに漏洩します(bsc#1268141)。
    - CVE-2026-48858:サーバー側のリクエスト偽造により、検証されていない「PASV」応答 IP アドレス(bsc#1268142)を介した、FTP バウンス攻撃と SSRF が可能です。
    - CVE-2026-48860:「ssl」(「inet_tls_dist」モジュール)により、Distribution-over-TLS LAN 許可リスト(bsc#1268146)の認証されていないバイパスの可能性があります。
    - CVE-2026-49759:SCTP における際限のないスタックバッファオーバーフローにより、「inet_drv」での解析が発生します(bsc#1268163)。
    - CVE-2026-49760:非常に大きな整数(bsc#1268164)の「ei_s_print_term」におけるスタックバッファオーバーフロー。
    - CVE-2026-53422:SFTP「REALPATH」path-existence oracle により、構成されたルート(bsc#1270245)外側でファイルシステムを列挙できます。
    - CVE-2026-54886:拡張チャネルデータの無限ループ(bsc#1270246)による SFTP サーバーのサービス拒否SSH。
    - CVE-2026-54887:デフォルトの暗号化キーを使用すると、起動ウィンドウ(bsc#1270247)中に予測可能な DTLS クッキーの計算が可能になります。
    - CVE-2026-54891:ハンドシェイク中の(D)TLSクライアントに対する平文インジェクション(bsc#1270250)。
    - CVE-2026-55737:「erts」外部用語フォーマットデコーダーにおける「LARGE_TUPLE_EXTP」デコーディングの符号付き/符号なしの不一致によるヒープポインター破損(bsc#1272910)。
    - CVE-2026-55950:time-of-check time-of-use の競合状態により、認証されていないリモートの攻撃者が、リスナーのすべてのアクティブな DTLS セッションをクラッシュさせる可能性があります(bsc#1270253)。
    - CVE-2026-55952:検証の欠如により、クライアントが一致しない PSK ID とバインダーリストの長さを持つ無効な形式の「ClientHello」を送信するとき、TLS-1.3 サーバーの DoS が可能になります(bsc#1270258)。
    - CVE-2026-55953:TLS 1.2 および DTLS クライアントが、提供されていない匿名暗号化パッケージを受け入れ、サーバー認証バイパス(bsc#1272911)を許します。
    - CVE-2026-58227:クロス署名されたピア証明書チェーン(bsc#1272913)の際の無限再帰による TLS/DTLS のサービス拒否。
    - CVE-2026-59250:オーバーサイズプロパティパラメーター名経由の「megaco」flex スキャナーのバッファオーバーフロー(bsc#1272914)。
    - CVE-2026-59251:パス検証での指数関数的な証明書ポリシーツリーの増加によるサービス拒否(bsc#1272915)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6464 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6464-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : erlang CVE ID : CVE-2026-28808 CVE-2026-28810 CVE-2026-32144 CVE-2026-32147 CVE-2026-42789 CVE-2026-42790 CVE-2026-42791 CVE-2026-42792 CVE-2026-47078 CVE-2026-48855 CVE-2026-48856 CVE-2026-48858 CVE-2026-48860 CVE-2026-49759 CVE-2026-49760 CVE-2026-53422 CVE-2026-54886 CVE-2026-54887 CVE-2026-54890 CVE-2026-54891 CVE-2026-55737 CVE-2026-55950 CVE-2026-55952 CVE-2026-55953 CVE-2026-58227 CVE-2026-59250 CVE-2026-59251 Debian バグ : 1139727 1139823 1141414 1142985

    同時、リアルタイムの分散関数型言語である Erlang/OTP に、複数の脆弱性が発見されました。これにより、サービス拒否、情報漏洩、認証および証明書検証のバイパス、または任意のコードの実行が引き起こされる可能性があります。これらの脆弱性は、広範囲のコンポーネントに影響を与えます: TLS および証明書検証 (ssl、public_key)、SSH (ssh)、ネットワーククライアントおよびサーバー (inets、ftp、epmd、kernel)、ランタイムおよびライブラリ (erts、erl_interface、stdlib、megaco)。

    これらの修正のうちいくつかは、以前は緩すぎたチェックを厳格化したものであり、その結果、以前は正常に動作していた設定が動作しなくなる可能性があります。特に目につきやすいのは、次のとおりです。

     - デフォルトである verify_peer を使用する TLS クライアントは、subjectAltName 拡張子がない証明書を拒否するようになりました。customize_hostname_check オプションでは、以前の動作は復元されません。

     - カーネル「check_ip」オプションで TLS に Erlang ディストリビューションを行うと、以前は no-op だったチェックが強制されるようになりました。そのため、ノードが同じサブネット上にないクラスターは、オプションが設定解除されるまでディストリビューション接続を失います。

     - OCSP ステープリングをリクエストする TLS クライアントは、サーバーがステープルされた応答を提供しない場合、ハンドシェイクに失敗するようになりました。

     - TLS 1.2 以前を使用するクライアントは、クライアントがアドバタイズしていない ALPN 拡張をサーバーが送信する場合に、ハンドシェイクを中止するようになりました。

     - inet_res を介して作成された DNS クエリは、ランダム化されたソースポートを使用するようになりました

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 1:27.3.4.1+dfsg-1+deb13u3 で修正されています。

    お使いのerlangパッケージをアップグレードすることを推奨します。

    erlang の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/erlang

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
365371	Ubuntu 14.04 LTS/ 16.04 LTS/ 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS:Erlangの脆弱性(USN-8901-1)	Nessus	Ubuntu Local Security Checks	2026/10/13	2026/10/13	critical
338632	SUSE SLES15 セキュリティ更新 : erlang (SUSE-SU-2026:3645-1)	Nessus	SuSE Local Security Checks	2026/8/21	2026/8/21	critical
327806	Fedora 44:erlang(2026-dcf80dc1ff)	Nessus	Fedora Local Security Checks	2026/7/19	2026/7/19	high
324981	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54891	Nessus	Misc.	2026/7/3	2026/9/4	medium
325890	Erlang/OTP 17.0 < 27.3.4.14 / 28.0 < 28.5.0.3 / 29.0 < 29.0.3 の複数の脆弱性	Nessus	Misc.	2026/7/9	2026/7/15	medium
327809	Fedora 43:erlang(2026-965be97ac0)	Nessus	Fedora Local Security Checks	2026/7/19	2026/7/19	high
335097	SUSE SLES15 セキュリティ更新:erlang26(SUSE-SU-2026:3579-1)	Nessus	SuSE Local Security Checks	2026/8/13	2026/8/13	critical
339216	Debian dsa-6464 : erlang - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/25	2026/8/25	critical

検出

プラグインの検索

critical

critical

high

medium

medium

high

critical

critical