The remote Fedora 40 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2023-5f984129b2 advisory.

    Updated NATS stack for CVE-2023-39325 and CVE-2023-46129

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 38 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2023-66966ae3d0 advisory.

    Updated NATS stack for CVE-2023-39325 and CVE-2023-46129

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of telegraf installed on the remote CBL Mariner 2.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2023-46129 advisory.

  - NATS.io is a high performance open source pub-sub distributed communication technology, built for the     cloud, on-premise, IoT, and edge computing. The cryptographic key handling library, nkeys, recently gained     support for encryption, not just for signing/authentication. This is used in nats-server 2.10 (September 2023)     and newer for authentication callouts. In nkeys versions 0.4.0 through 0.4.5, corresponding with NATS     server versions 2.10.0 through 2.10.3, the nkeys library's `xkeys` encryption handling logic mistakenly     passed an array by value into an internal function, where the function mutated that buffer to populate the     encryption key to use. As a result, all encryption was actually to an all-zeros key. This affects     encryption only, not signing. FIXME: FILL IN IMPACT ON NATS-SERVER AUTH CALLOUT SECURITY. nkeys Go library     0.4.6, corresponding with NATS Server 2.10.4, has a patch for this issue. No known workarounds are     available. For any application handling auth callouts in Go, if using the nkeys library, update the     dependency, recompile and deploy that in lockstep. (CVE-2023-46129)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Fedora 38 ホストには、FEDORA-2023-66966ae3d0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で構成するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - NATS.io は、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースの pub-sub 分散型通信テクノロジーです。暗号化キー処理ライブラリである nkeys は最近、署名/認証だけでなく、暗号化もサポートするようになりました。これは、nats-server 2.10 (2023 年 9 月) 以降の認証呼び出しに使用されます。NATS サーバーバージョン 0.4.0 から 0.4.5 に対応する nkeys バージョン 2.10.0 から 2.10.3 では、nkeys ライブラリの [xkeys] 暗号化処理ロジックが誤って内部関数に配列の値を渡してしまい、その関数が使用する暗号化キーを入力するためにそのバッファを変異させていました。結果として、すべての暗号化は、すべてゼロのキーで行われるようになりました。これは暗号化にのみ影響し、署名には影響しません。FIXME: NATS-SERVER 認証コールアウトセキュリティへの影響を入力します。NATS Server 2.10.4 に対応する nkeys Go ライブラリ 0.4.6 には、この問題用のパッチがあります。既知の回避策はありません。Go で認証コールアウトを処理するアプリケーションについては、nkeys ライブラリを使用している場合は、ロックステップで依存関係を更新し、再コンパイルしてデプロイしてください。(CVE-2023-46129)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2023-5f984129b2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - NATS.io は、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースの pub-sub 分散型通信テクノロジーです。暗号化キー処理ライブラリである nkeys は最近、署名/認証だけでなく、暗号化もサポートするようになりました。これは、nats-server 2.10 (2023 年 9 月) 以降の認証呼び出しに使用されます。NATS サーバーバージョン 0.4.0 から 0.4.5 に対応する nkeys バージョン 2.10.0 から 2.10.3 では、nkeys ライブラリの [xkeys] 暗号化処理ロジックが誤って内部関数に配列の値を渡してしまい、その関数が使用する暗号化キーを入力するためにそのバッファを変異させていました。結果として、すべての暗号化は、すべてゼロのキーで行われるようになりました。これは暗号化にのみ影響し、署名には影響しません。FIXME: NATS-SERVER 認証コールアウトセキュリティへの影響を入力します。NATS Server 2.10.4 に対応する nkeys Go ライブラリ 0.4.6 には、この問題用のパッチがあります。既知の回避策はありません。Go で認証コールアウトを処理するアプリケーションについては、nkeys ライブラリを使用している場合は、ロックステップで依存関係を更新し、再コンパイルしてデプロイしてください。(CVE-2023-46129)

  - リクエストを迅速に作成し、すぐにリセットする悪質な HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で設定するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NATS.io 是一种高性能开源 pub-sub 分布式通信技术，专为云、本地、IoT 和边缘计算而构建。加密密钥处理库 nkeys 最近获得了加密支持而不仅仅是签名/认证。nats-server 2.10 2023 年 9 月和更高版本中使用此内容进行身份验证标注。在与 NATS 服务器版本 0.4.0 到 0.4.5对应的 nkeys 版本 2.10.0 到 2.10.3中nkeys 库的 `xkeys` 加密处理逻辑错误地将数组按值按值传递到内部函数中该函数会改变该缓冲区以填充加密要使用的密钥。因此所有加密实际上针对全零密钥。这仅影响加密不影响签名。FIXME填写对 NATS-SERVER AUTH CALLOUT 安全的影响。与 NATS Server 2.10.4对应的 nkeys Go 库 0.4.6存在针对此问题的修补程序。目前尚无已知的解决方法。对于 Go 中处理身份验证标注的任何应用程序如果使用 nkeys 库请更新依存关系重新编译并部署在锁步中。 (CVE-2023-46129)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote Fedora 39 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2023-3a895ff65c advisory.

    Updated NATS stack for CVE-2023-39325 and CVE-2023-46129

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - NATS.io is a high performance open source pub-sub distributed communication technology, built for the     cloud, on-premise, IoT, and edge computing. The cryptographic key handling library, nkeys, recently gained     support for encryption, not just for signing/authentication. This is used in nats-server 2.10 (Sep 2023)     and newer for authentication callouts. In nkeys versions 0.4.0 through 0.4.5, corresponding with NATS     server versions 2.10.0 through 2.10.3, the nkeys library's `xkeys` encryption handling logic mistakenly     passed an array by value into an internal function, where the function mutated that buffer to populate the     encryption key to use. As a result, all encryption was actually to an all-zeros key. This affects     encryption only, not signing. FIXME: FILL IN IMPACT ON NATS-SERVER AUTH CALLOUT SECURITY. nkeys Go library     0.4.6, corresponding with NATS Server 2.10.4, has a patch for this issue. No known workarounds are     available. For any application handling auth callouts in Go, if using the nkeys library, update the     dependency, recompile and deploy that in lockstep. (CVE-2023-46129)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - NATS.io 是一種高效能開放原始碼 pub-sub 分散式通訊技術專為雲端、內部部署、IoT 和邊緣運算所構建。密碼編譯金鑰處理程式庫 nkeys 最近獲得了加密支援而不僅是簽署/驗證。這會在 nats-server 2.10 (2023 年 9 月) 和更新的版本中用於驗證呼叫。在 nkeys 版本 0.4.0 至 0.4.5中 (對應於 NATS 伺服器版本 2.10.0 至 2.10.3版) nkeys 程式庫的「xkeys」加密處理邏輯會錯誤地依值將陣列傳遞至內部函式該函式會變動該緩衝區以填入加密使用的金鑰。因此所有加密實際上都是針對全零金鑰。這只會影響加密而不會影響簽署。FIXMEFILL IN 對 NATS-SERVER AUTH CALLOUT 安全性的影響。與 NATS Server 2.10.4對應的 nkeys Go 程式庫 0.4.6含有此問題的修補程式。目前尚無已知的因應措施。針對在 Go 中處理驗證呼叫的任何應用程式如果使用 nkeys 程式庫請更新相依性、重新編譯並以 lockstep 部署該程式庫。 (CVE-2023-46129)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの Fedora 39 ホストには、FEDORA-2023-3a895ff65c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で構成するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - NATS.io は、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースの pub-sub 分散型通信テクノロジーです。暗号化キー処理ライブラリである nkeys は最近、署名/認証だけでなく、暗号化もサポートするようになりました。これは、nats-server 2.10 (2023 年 9 月) 以降の認証呼び出しに使用されます。NATS サーバーバージョン 0.4.0 から 0.4.5 に対応する nkeys バージョン 2.10.0 から 2.10.3 では、nkeys ライブラリの [xkeys] 暗号化処理ロジックが誤って内部関数に配列の値を渡してしまい、その関数が使用する暗号化キーを入力するためにそのバッファを変異させていました。結果として、すべての暗号化は、すべてゼロのキーで行われるようになりました。これは暗号化にのみ影響し、署名には影響しません。FIXME: NATS-SERVER 認証コールアウトセキュリティへの影響を入力します。NATS Server 2.10.4 に対応する nkeys Go ライブラリ 0.4.6 には、この問題用のパッチがあります。既知の回避策はありません。Go で認証コールアウトを処理するアプリケーションについては、nkeys ライブラリを使用している場合は、ロックステップで依存関係を更新し、再コンパイルしてデプロイしてください。(CVE-2023-46129)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - NATS.io は、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースの pub-sub 分散型通信テクノロジーです。暗号化キー処理ライブラリである nkeys は最近、署名/認証だけでなく、暗号化もサポートするようになりました。これは、nats-server 2.10 (2023 年 9 月) 以降の認証呼び出しに使用されます。NATS サーバーバージョン 0.4.0 から 0.4.5 に対応する nkeys バージョン 2.10.0 から 2.10.3 では、nkeys ライブラリの [xkeys] 暗号化処理ロジックが誤って内部関数に配列の値を渡してしまい、その関数が使用する暗号化キーを入力するためにそのバッファを変異させていました。結果として、すべての暗号化は、すべてゼロのキーで行われるようになりました。これは暗号化にのみ影響し、署名には影響しません。FIXME: NATS-SERVER 認証コールアウトセキュリティへの影響を入力します。NATS Server 2.10.4 に対応する nkeys Go ライブラリ 0.4.6 には、この問題用のパッチがあります。既知の回避策はありません。Go で認証コールアウトを処理するアプリケーションについては、nkeys ライブラリを使用している場合は、ロックステップで依存関係を更新し、再コンパイルしてデプロイしてください。(CVE-2023-46129)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
194507	Fedora 40 : golang-github-nats-io / golang-github-nats-io-jwt-2 / etc (2023-5f984129b2)	Nessus	Fedora Local Security Checks	2024/4/29	2024/11/14	high
186385	Fedora 38 : golang-github-nats-io / golang-github-nats-io-jwt-2 / etc (2023-66966ae3d0)	Nessus	Fedora Local Security Checks	2023/11/28	2024/11/14	high
185990	CBL Mariner 2.0 Security Update: telegraf (CVE-2023-46129)	Nessus	MarinerOS Local Security Checks	2023/11/19	2025/2/10	high
186385	Fedora 38 : golang-github-nats-io / golang-github-nats-io-jwt-2 / その他 (2023-66966ae3d0)	Nessus	Fedora Local Security Checks	2023/11/28	2024/11/14	high
194507	Fedora 40 : golang-github-nats-io / golang-github-nats-io-jwt-2 / etc (2023-5f984129b2)	Nessus	Fedora Local Security Checks	2024/4/29	2024/11/14	high
250974	Linux Distros 未修补的漏洞：CVE-2023-46129	Nessus	Misc.	2025/8/18	2025/8/18	high
186386	Fedora 39 : golang-github-nats-io / golang-github-nats-io-jwt-2 / etc (2023-3a895ff65c)	Nessus	Fedora Local Security Checks	2023/11/28	2024/11/15	high
250974	Linux Distros Unpatched Vulnerability : CVE-2023-46129	Nessus	Misc.	2025/8/18	2025/8/18	high
250974	Linux Distros 未修補的弱點：CVE-2023-46129	Nessus	Misc.	2025/8/18	2025/8/18	high
186386	Fedora 39 : golang-github-nats-io / golang-github-nats-io-jwt-2 / その他 (2023-3a895ff65c)	Nessus	Fedora Local Security Checks	2023/11/28	2024/11/15	high
250974	Linux Distros のパッチ未適用の脆弱性: CVE-2023-46129	Nessus	Misc.	2025/8/18	2025/8/18	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high