この Solaris システムには、重要なセキュリティ更新に対処するために必要なパッチがありません。

  - Oracle Fusion Middleware の Oracle Outside In Technology 製品の脆弱性 (コンポーネント:
    DC-Specific Component (LibExpat))。サポートされているバージョンで影響を受けるのは 8.5.6 です。容易に悪用可能な脆弱性により、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Outside In Technology を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Outside In Technology をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。CVSS 3.1 ベーススコア 7.5 (可用性に影響)。CVSS Vector:
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)。
    (CVE-2022-43680)

リモートホストにインストールされている lighttpd のバージョンは、1.4.53-1.37 より前です。したがって、ALAS-2023-1705 のアドバイザリに記載されている脆弱性の影響を受けます。

  - lighttpd 1.4.65 で、無効な HTTP リクエスト (websocket ハンドシェイク) を受信した場合、mod_wstunnel はハンドラー関数ポインターを初期化しません。これは、サーバーをクラッシュさせる NULL ポインターデリファレンスにつながります。外部の攻撃者がこれを利用して、サービス拒否状態を引き起こす可能性があります。(CVE-2022-37797)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - lighttpd 1.4.65 で、無効な HTTP リクエスト (websocket ハンドシェイク) を受信した場合、mod_wstunnel はハンドラー関数ポインターを初期化しません。これは、サーバーをクラッシュさせる NULL ポインターデリファレンスにつながります。外部の攻撃者がこれを利用して、サービス拒否状態を引き起こす可能性があります。(CVE-2022-37797)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 11 ホストには、dsa-5243 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - lighttpd 1.4.56 〜 1.4.66 の gw_backend.c でのリソース漏洩により、クライアントによる大量の異常な TCP 動作の後に、サービス拒否 (接続スロットの枯渇) が発生する可能性があります。これは、特定の HTTP /1.1 チャンク状態での RDHUP の不適切な処理に関連しています。例えば、mod_fastcgi の使用が影響を受けます。
    これは、1.4.67で修正されます。(CVE-2022-41556)

  - lighttpd 1.4.65で、無効な HTTP リクエスト (websocket ハンドシェイク) を受信した場合、mod_wstunnel はハンドラー関数ポインターを初期化しません。これは、サーバーをクラッシュさせる NULL ポインターデリファレンスにつながります。外部の攻撃者がこれを利用して、サービス拒否状態を引き起こす可能性があります。(CVE-2022-37797)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15 ホストには、openSUSE-SU-2022:10132-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - lighttpd 1.4.65で、無効な HTTP リクエスト (websocket ハンドシェイク) を受信した場合、mod_wstunnel はハンドラー関数ポインターを初期化しません。これは、サーバーをクラッシュさせる NULL ポインターデリファレンスにつながります。外部の攻撃者がこれを利用して、サービス拒否状態を引き起こす可能性があります。(CVE-2022-37797)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3133 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - lighttpd 1.4.65で、無効な HTTP リクエスト (websocket ハンドシェイク) を受信した場合、mod_wstunnel はハンドラー関数ポインターを初期化しません。これは、サーバーをクラッシュさせる NULL ポインターデリファレンスにつながります。外部の攻撃者がこれを利用して、サービス拒否状態を引き起こす可能性があります。(CVE-2022-37797)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
170171	Oracle Solaris 重要パッチ更新: jan2023_SRU11_4_53_132_2	Nessus	Solaris Local Security Checks	2023/1/19	2025/10/21	critical
173282	Amazon Linux AMI : lighttpd (ALAS-2023-1705)	Nessus	Amazon Linux Local Security Checks	2023/3/22	2024/12/11	high
259364	Linux Distros のパッチ未適用の脆弱性: CVE-2022-37797	Nessus	Misc.	2025/8/30	2025/8/30	high
165548	Debian DSA-5243-1: lighttpd - セキュリティ更新	Nessus	Debian Local Security Checks	2022/9/29	2025/1/24	high
165586	openSUSE 15 セキュリティ更新: lighttpd (openSUSE-SU-2022:10132-1)	Nessus	SuSE Local Security Checks	2022/9/30	2023/10/10	high
165654	Debian DLA-3133-1 : lighttpd - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/10/5	2025/1/22	high

検出

プラグインの検索

critical

high

high

high

high

high