自己報告されたバージョン番号によると、リモートホストで実行されている Atlassian Confluence アプリケーションは 9.2.24 より前、または 10.2.17 より前の 9.3.x です。このため、バンドルされたサードパーティ依存関係の欠陥を含む複数の脆弱性の影響を受けます:

- バンドルされた Netty 依存関係における複数の中間者の脆弱性。(CVE-2026-45674、 CVE-2026-47691)

- バンドルされた lodash の依存関係におけるリモートコードの実行の脆弱性。(CVE-2026-4800)

- バンドルされた Bouncy Castle 依存関係のインジェクションの脆弱性。(CVE-2026-59650)

- バンドルされた Bouncy Castle 依存関係における複数の破損した認証およびセッション管理の脆弱性。(CVE-2026-8763、 CVE-2026-12803、 CVE-2026-12802、 CVE-2026-59642、 CVE-2026-59639、 CVE-2026-12816)

- バンドルされた Apache Tomcat 依存関係における複数の破損した認証およびセッション管理の脆弱性。(CVE-2026-55276、 CVE-2026-53404)

- バンドルされた Netty 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-56745、 CVE-2026-59901、 CVE-2026-48043、 CVE-2026-45416、 CVE-2026-73507、 CVE-2026-56819、 CVE-2026-55833、 CVE-2026-55831)

- バンドルされた Immutable.js 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-59880、 CVE-2026-59879)

- バンドルされた Bouncy Castle 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-13506、 CVE-2026-58059)

- バンドルされた Bouncy Castle 依存関係における複数のリモートコードの実行の脆弱性。(CVE-2026-14682、 CVE-2026-58060)

- バンドルされた Netty 依存関係の不適切な承認の脆弱性。(CVE-2026-44249)

- バンドルされた node-tar 依存関係でのサービス拒否の脆弱性。(CVE-2026-73566)

- バンドルされた Netty 依存関係における壊れた認証およびセッション管理の脆弱性。(CVE-2026-50010)

- バンドルされた nanoid 依存関係におけるクロスサイトリクエスト偽造(CSRF)の脆弱性。(CVE-2026-73086)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートホストで実行されているAtlassianのJiraアプリケーションは、10.3.24より前または10.4.x11.3.10より前のものです。このため、バンドルされたサードパーティ依存関係の欠陥を含む複数の脆弱性の影響を受けます:

- バンドルされた lodash の依存関係におけるリモートコードの実行の脆弱性。(CVE-2026-4800)

- バンドルされた @babel/traverse 依存関係におけるリモートコードの実行の脆弱性。(CVE-2023-45133)

- バンドルされた node-tar 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-59873、 CVE-2026-59874、 CVE-2026-59871)

- Atlassian Jiraの壊れた認証およびセッション管理の脆弱性。(CVE-2026-21582)

- バンドルされたロールアップ依存関係におけるファイルインクルージョンの脆弱性。(CVE-2026-27606)

- バンドルされた axios 依存関係のインジェクションの脆弱性。(CVE-2026-44494)

- バンドルされた Netty 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-59901、 CVE-2026-56745、 CVE-2026-55833、 CVE-2026-56819、 CVE-2026-45416、 CVE-2026-48043、 CVE-2026-42587、 CVE-2026-55831、 CVE-2026-42583)

- バンドルされた react-router 依存関係でのサービス拒否の脆弱性。(CVE-2026-55685)

- バンドルされたフォームデータの依存関係におけるリモートコードの実行の脆弱性。(CVE-2026-12143)

- バンドルされた axios の依存関係におけるサーバー側のリクエスト偽造(SSRF)の脆弱性。(CVE-2026-44492)

- バンドルされた PostgreSQL JDBC ドライバーの依存関係における中間者の脆弱性。(CVE-2026-54291)

- バンドルされた axios 依存関係における複数の情報漏洩の脆弱性。(CVE-2026-44487、 CVE-2026-44486)

- バンドルされた Netty 依存関係の不適切な承認の脆弱性。(CVE-2026-44249)

- バンドルされたSpring Securityの依存関係に壊れた認証およびセッション管理の脆弱性があります。(CVE-2026-47838)

- バンドルされた IP アドレス依存関係におけるサーバー側のリクエスト偽造(SSRF)の脆弱性。(CVE-2026-69192)

- バンドルされたブレース拡張依存関係でのサービス拒否脆弱性。(CVE-2026-13149)

- バンドルされた js-cookie の依存関係におけるインジェクションの脆弱性。(CVE-2026-46625)

- バンドルされた Netty 依存関係の中間者の脆弱性。(CVE-2026-50010)

- バンドルされた undici 依存関係でのサービス拒否脆弱性。(CVE-2026-12151)

- バンドルされた Apache Tomcat 依存関係のインジェクション脆弱性。(CVE-2026-24734)

- バンドルされたSpring Frameworkの依存関係におけるサービス拒否の脆弱性。(CVE-2026-41842)

- バンドルされた axios の依存関係におけるサービス拒否の脆弱性。(CVE-2026-44488)

- バンドルされた Micrometer 依存関係でのサービス拒否脆弱性。(CVE-2026-40983)

- バンドルされたSpring Frameworkの依存関係におけるクロスサイトスクリプティング(XSS)の脆弱性。(CVE-2026-41845)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートホストで実行されている Atlassian Crowd アプリケーションは、 7.2.2 より前のものです。このため、バンドルされたサードパーティ依存関係の欠陥を含む複数の脆弱性の影響を受けます:

- Atlassian Crowd における認証およびセッション管理の破損の脆弱性。(CVE-2026-21582)

- バンドルされた Netty 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-56745、 CVE-2026-59901、 CVE-2026-45416、 CVE-2026-55831、 CVE-2026-55833、 CVE-2026-48043、 CVE-2026-56819)

- バンドルされた axios 依存関係における複数のインジェクションの脆弱性。(CVE-2026-44494、 CVE-2026-42041、 CVE-2026-44490、 CVE-2026-42035、 CVE-2026-42033)

- バンドルされた axios の依存関係におけるサーバー側のリクエスト偽造(SSRF)の脆弱性。(CVE-2026-44492)

- バンドルされた axios 依存関係における複数の情報漏洩の脆弱性。(CVE-2026-67320、 CVE-2026-44487、 CVE-2026-44486)

- バンドルされた Hibernate ORM 依存関係における SQL 注入の脆弱性。(CVE-2026-0603)

- バンドルされた PostgreSQL JDBC ドライバーの依存関係における中間者の脆弱性。(CVE-2026-54291)

- バンドルされたアンダースコアの依存関係におけるサービス拒否の脆弱性。(CVE-2026-27601)

- バンドルされたjackson-databind依存関係における安全でない逆シリアル化の脆弱性。(CVE-2026-54513、 CVE-2026-54512)

- バンドルされた Netty 依存関係の不適切な承認の脆弱性。(CVE-2026-44249)

- バンドルされたSpring Securityの依存関係に壊れた認証およびセッション管理の脆弱性があります。(CVE-2026-47838)

- バンドルされた Apache Tomcat の依存関係でのサービス拒否の脆弱性。(CVE-2026-41284)

- バンドルされた Spring Framework の依存関係における複数のサービス拒否の脆弱性。(CVE-2026-41842、 CVE-2026-41851、 CVE-2026-41850)

- バンドルされた Netty 依存関係の中間者の脆弱性。(CVE-2026-50010)

- バンドルされた axios 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-44496、 CVE-2026-44488)

- バンドルされた Micrometer 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-40983、 CVE-2026-40984)

- バンドルされた postcss 依存関係の情報漏洩の脆弱性。(CVE-2026-45623)

- バンドルされた Apache Tomcat 依存関係におけるビジネスロジックの脆弱性。(CVE-2026-43513)

- バンドルされた js-cookie の依存関係におけるインジェクションの脆弱性。(CVE-2026-46625)

- バンドルされたSpring Frameworkの依存関係におけるクロスサイトスクリプティング(XSS)の脆弱性。(CVE-2026-41845)

- バンドルされた axios の依存関係におけるリモートコードの実行の脆弱性。(CVE-2026-44495)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3482-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty を upstream バージョン 4.1.136 および netty-tcnative をバージョン 2.0.80 Final にアップグレードしてください。

    修正されたセキュリティ問題

    - CVE-2026-44891:「io.netty:netty-codec-stomp」でのメモリ枯渇 (bsc#1271435)。
    - CVE-2026-55831:「io.netty:netty-codec-http」でのリソース枯渇/DoS (bsc#1271960)。
    - CVE-2026-55833:「io.netty:netty-codec-http」での zip 爆弾 (bsc#1271961)。
    - CVE-2026-55851:「io.netty:netty-codec-haproxy」でのメモリ枯渇 (bsc#1272253)。
    - CVE-2026-56745:「io.netty:netty-codec-http」でのメモリ枯渇 (bsc#1272254)。
    - CVE-2026-56746:「io.netty:netty-codec-http」での不適切なアクセスコントロール (CORS) (bsc#1272255)。
    - CVE-2026-56817:「io.netty:netty-codec-xml」での XML 解析の安全でないデフォルト (bsc#1272257)。
    - CVE-2026-56818:「io.netty:netty-codec-redis」でのメモリリーク (bsc#1272603)。
    - CVE-2026-56819:「io.netty:netty-codec-http2」でのメモリリーク (bsc#1272258)。
    - CVE-2026-56820:「io.netty:netty-handler-ssl-ocsp」での不適切な証明書検証 (bsc#1272259)。
    - CVE-2026-56821:「io.netty:netty-handler-ssl-ocsp」での不適切な証明書失効チェック (bsc#1272299)。
    - CVE-2026-56822:「io.netty:netty-handler-ssl-ocsp」での time-of-check/time-of-use (bsc#1272300)。
    - CVE-2026-59898:「io.netty:netty-codec-http」でのプロトコルバージョンの取り違え (WebSocket) (bsc#1272302)。
    - CVE-2026-59899:「io.netty:netty-codec-http」でのメモリ枯渇 (bsc#1272301)。
    - CVE-2026-59900:「io.netty:netty-codec-http2」での不適切なヘッダーの中和化 (bsc#1272303)。
    - CVE-2026-59901:「io.netty:netty-codec-compression」での無限ループ (bzip2) (bsc#1272304)。
    - CVE-2026-59919:「io.netty:netty-codec-haproxy」での不適切な CR/LF の中和化 (bsc#1272305)。
    - CVE-2026-59920:「io.netty:netty-codec-stomp」での不適切な CR/LF の中和化 (bsc#1272306)。
    - CVE-2026-59921:「io.netty:netty-codec-http」での不適切な CR/LF の中和化 (マルチパート) (bsc#1272307)。
    -「io.netty:netty-codec-dns」でのメモリリーク (bsc#1272519)。
    -「io.netty:netty-codec-xml」での制御されないリソース消費 (bsc#1272518)。

    その他の更新およびバグ修正:

    - アップストリームバージョン 4.1.136 にアップグレード:
      - SingleThreadEventExecutor: run() でスロー可能な安全性コントラクトをドキュメント化
      - HTTP/2 フレームの hashCode をイコールと一致させる
      - DnsQueryIdSpace の BlockHound 例外を追加 (#16896)
      - FlowControlHandler: autoRead 挙動を修正
      - HpackDecoder.setMaxHeaderListSize のエラーメッセージの誤ったバインドを修正
      - MQTT: 変数ヘッダーリプレイ後の MQTT デコーダーサイズチェックを修正
      - MQTT: decodeProperties early-REPLAY チェックを実際に起動させる
      - HTTP メソッド名の境界にある制御文字を拒否 (#16723)
      - 最新の tcnative リリースに更新
      - HTTP 2 PUSH_PROMISE ストリーム関連付け検証を修正
      - JdkZlibDecoder の GZIP FEXTRA フィールド余分な処理を修正
      - HTTP/2 の必須の擬似ヘッダーフィールドのオプトイン検証を追加
      - MQTT UTF-8 でエンコードされた文字列を厳格に検証 (#16939)
      - DateFormatter 末尾トークンが解析終端を越えて実行されるのを停止
      - IpFilter: デフォルトで accept を使用するコンストラクターを廃止
      - RFC 10008 QUERY メソッドのサポートを追加 (#16966)
      - クローズ時にキューに入れられたトラフィックシェーピング書き込みを適切にリリースし、失敗 (#16959)
      - FlowControlHandler: デキュー中に切り替えられた場合、自動読み取りを尊重
      - IdleStateHandler: resetWriteTimeout/resetReadTimeout の firstWriter/ReaderIdleEvent をリセット (#16982)
      - AbstractSniHandler Javadoc の誤字を修正
      - AbstractCoalescingBufferQueue readableBytes がドレインするときにそれを調整し、空の DATA フレームをスピンする代わりにスタックした HTTP/2 ストリームに失敗
      - HTTP バージョントークンの境界にある制御文字を拒否 (#16971)
      - StompSubframeDecoder の CR の UTF-8 デコード状態をリセット
      - HTTP2: goaway を記録する際に正しい数の引数を渡す + FastLz: 切り捨てられた入力に対する展開をガード (#17000) + クライアント SslContext ハンドラーに対する startTls の伝播を修正 + HTTP/2 ヘッダー名の非トークン文字を拒否 + lz4-java を 1.11.1 に更新 + github アクションを固定してリスクを軽減 (#17043) + フォークからブランチをマージ (#17063)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです。バージョン 4.1.136.Final および 4.2.16.Final より前では、Netty の圧縮コーデックパイプラインの「Bzip2Decoder」ハンドラーは、無限ループのイベントループスレッドを永続的にキャプチャする無効な形式の bzip2 ストリームを介した DoS 攻撃(サービス拒否攻撃)に対して脆弱です。['Bzip2BlockDecompressor.read()'] 内のランレングスエンコーディング(RLE)ステートマシンに脆弱性が存在します。この問題は、バージョン 4.1.136.Final および 4.2.16.Final で修正されています。
    (CVE-2026-59901)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115689	Atlassian Confluence < 9.2.24 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115690	Atlassian Confluence 9.3.x < 10.2.17 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115699	Atlassian Jira < 10.3.24 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115706	Atlassian Crowd < 7.2.2 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	high
115700	Atlassian Jira 10.4.x < 11.3.10 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
332130	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:3482-1)	Nessus	SuSE Local Security Checks	2026/8/5	2026/9/3	high
330708	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59901	Nessus	Misc.	2026/7/29	2026/9/3	high

検出

プラグインの検索

critical

critical

critical

high

critical

high

high