自己報告されたバージョンによると、リモートホストで実行されているIBM BigFix Platformアプリケーションは、9.5.12より前の9.5.xです。したがって、複数の脆弱性の影響を受けます。- 任意のファイルアップロードの脆弱性がIBM BigFix Platformにあります。認証されたリモートの攻撃者はこれを悪用して、rootユーザーとしてリモートホストに任意のファイルをアップロードする可能性があります。（CVE-2019-4013）- SMT/Hyper-Threadingを利用しているプロセッサーに対するPortSmashサイドチャネル攻撃のため、情報漏えいの脆弱性がIBM BigFix Platformにあります。認証されたローカルの攻撃者がこれを悪用し、秘密情報を漏えいさせる可能性があります。（CVE-2018-5407）- ユーザー指定の入力がユーザーに返される前に不適切に検証されているため、クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2012-5883、CVE-2012-6708、CVE-2015-9251）IBM BigFix Platformは、以前はTivoli Endpoint Manager、IBM Endpoint Manager、IBM BigFix Endpoint Managerとして知られていました。Nessusはこれらの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Red Hat JBoss CoreサービスパックApache Server 2.4.37を提供し、いくつかのバグを修正し、さまざまな拡張機能を追加した更新済みのパッケージが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.37パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.29を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* openssl：crypto/rsa/rsa_gen.cのRSAキー生成キャッシュタイミングの脆弱性により、攻撃者は秘密鍵を復元できます（CVE-2018-0737）* openssl：DSA署名アルゴリズムのタイミングサイドチャネル攻撃（CVE-2018-0734）* mod_auth_digest：競合状態によるアクセス制御のバイパス（CVE-2019-0217） * openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* mod_session_cookieが有効期限を考慮しない （CVE-2018-17199）* mod_http2：DoS via 遅延された不要なリクエスト本体を通じたDoS（CVE-2018-17189）* mod_http2：最新版へのアップグレードでクラッシュする可能性（CVE-2019-0197）* mod_http2：文字列比較でのメモリ解放後読み取り（CVE-2019-0196）* nghttp2：HTTP/2：大量のデータリクエストがサービス拒否を引き起こす可能性（CVE-2019-9511）* nghttp2：HTTP/2：PRIORITYフレームを使用したフラッディングによる、リソースの過剰消費（CVE-2019-9513）* mod_http2：HTTP/2：長さ0のヘッダーがサービス拒否を引き起こす（CVE-2019-9516）* mod_http2：HTTP/2：大きな応答を要求するとサービス拒否を引き起こす（CVE-2019-9517）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートのMiracleLinux 7ホストには、AXSA:2019-3827:03アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [セキュリティ修正]
    - OpenSSL SMT同時マルチスレッディング「CVE-2018-5407ポートの競合」CVEJVNhttp://jvndb.jvn.jp/

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているNode.jsのバージョンは、6.15.0より前の6.x、8.14.0より前の8.x、10.14.0より前の10.x、または11.3.0より前の11.xです。したがって、複数の脆弱性の影響を受けます。

  - DSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0734）。

  - ECDSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0735）。

  - ECCのスカラー倍の処理におけるOpenSSLマイクロアーキテクチャタイミングの脆弱性（CVE-2018-5407）。

  - デフォルトでの、デバッガーポート5858による任意のインターフェイスのリッスン（CVE-2018-12120）。

  - 大きなHTTPヘッダーによるサービス拒否（CVE-2018-12121）。

  - Slowloris HTTPのサービス拒否（CVE-2018-12122）。

  - javascriptプロトコルのURLパーサーにおけるホスト名のなりすまし（CVE-2018-12123）。

  - HTTPリクエストの分割（CVE-2018-12116）。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ovmfの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。OVMF（Open Virtual Machine Firmware）は、仮想マシンのUEFIサポートを可能にするためのプロジェクトです。このパッケージには、QEMUおよびKVM用のサンプル64ビットUEFIファームウェアが含まれています。セキュリティ修正プログラム：* edk2：TianoCompress.cの不正な形式のファイルの処理による権限昇格（CVE-2017-5731）* edk2：BaseUefiDecompressLib.cの不正な形式のファイルの処理による権限昇格（CVE-2017-5732）* edk2：MakeTable()関数のヒープベースのバッファオーバーフローによる権限昇格（CVE-2017-5733）* edk2：MakeTable()関数のスタックベースのバッファオーバーフローによる権限昇格（CVE-2017-5734）* edk2：Decode()関数のヒープベースのバッファオーバーフローによる権限昇格（CVE-2017-5735）* edk2：EDK IIファームウェアのMdeModulePkgにおける論理エラーにより、認証されたユーザーによる権限昇格の可能性（CVE-2018-3613）* openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャンネルの脆弱性（PortSmash）（CVE-2018-5407）* edk2：破損したBMPによるスタックバッファオーバーフロー（CVE-2018-12181）* edk2：長いファイル名と無効なUDFメディアを使用したPartitionDxeおよびUdfDxeのバッファオーバーフロー（CVE-2019-0160）* edk2：XHCIのスタックオーバーフローによりサービス拒否が発生（CVE -2019-0161）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションにリンクされているRed Hat Enterprise Linux 7.7リリースノートを参照してください。

Secure Sockets LayerのツールキットであるOpenSSLで、大きなDiffie-Hellmanパラメーターによるいくつかのローカルサイドチャネル攻撃とサービス拒否が発見されました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124565	IBM BigFix Platform 9.5.x < 9.5.12の複数の脆弱性	Nessus	Web Servers	2019/5/3	2019/10/30	critical
131215	RHEL 6：JBoss Core Services（RHSA-2019:3932）（0-Length Headers Leak）（Data Dribble）（Internal Data Buffering）（Resource Loop）	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high
289189	MiracleLinux 7openssl-1.0.2k-16.1.el7AXSA:2019-3827:03	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
119938	Node.jsの複数の脆弱性（2018年11月のセキュリティリリース）	Nessus	Misc.	2018/12/28	2026/10/9	high
128356	CentOS 7：ovmf（CESA-2019:2125）	Nessus	CentOS Local Security Checks	2019/8/30	2019/12/31	critical
119313	Debian DSA-4348-1: openssl - セキュリティ更新	Nessus	Debian Local Security Checks	2018/12/1	2025/3/24	medium

検出

プラグインの検索

critical

high

medium

high

critical

medium