リモートのDebian 11ホストには、dla-4518のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- ---------------------- Debian LTS アドバイザリ DLA-4518-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 3 月 30 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    パッケージphpseclibバージョン1.0.19-3+deb11u3 CVE ID CVE-2023-52892 CVE-2026-32935

    PHP Secure Communications Library である phpseclib に 2 つの脆弱性が発見されました。

    CVE-2023-52892

        TLS 証明書の Subject Alternative Name フィールドの一部の文字は、正規表現で特別な意味を持つことが誤って許可されていました。これにより、X.509 証明書ホスト検証で名前の取り違えを引き起こしました。

    CVE-2026-32935

        AES-CBC の実装は、パディング解除機能での短絡論理演算子を使用するため、パディングオラクルタイミング攻撃に脆弱でした。

    Debian 11 Bullseyeでは、これらの問題はバージョン1.0.19-3+deb11u3で修正されました。

    phpseclib パッケージをアップグレードすることを推奨します。

    phpseclib の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/phpseclib

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS ホストには、USN-7404-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    phpseclib が RSA PKCS#1 v1.5 の署名認証を適切に処理しなかったことが発見されました。攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS のみです。(CVE-2021-30130)

    phpseclib が特定の TLS フィールドの特定の文字を適切に処理せず、名前の取り違えを引き起こす可能性があることが判明しました。攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。
    (CVE-2023-52892)

    phpseclib が isPrime によって生成される素数のサイズを不適切に制限することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2024-27354)

    phpseclib が証明書の ASN.1 オブジェクト識別子の処理を正しく処理しないことがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS と Ubuntu 22.04 LTS のみです。(CVE-2024-27355)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6187 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6187-1 security@debian.org https://www.debian.org/security/Moritz 2026 年 3 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ php-phpseclib3 CVE ID CVE-2026-32935

    PHP Secure Communications LibraryのAES-CBC実装が、パディングオラクルタイミング攻撃の影響を受けやすいことがわかりました。

    旧安定版oldstableディストリビューションbookdomでは、これらの問題はバージョン3.0.19-1+deb12u4で修正されました。この更新では、CVE-2023-52892も修正されます。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 3.0.43-2+deb13u1 で修正されています。

    php-phpseclib3 パッケージをアップグレードすることを推奨します。

    php-phpseclib3 の詳細なセキュリティステータスについては、下記のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/php-phpseclib3

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6186 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6186-1 security@debian.org https://www.debian.org/security/Moritz 2026 年 3 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : php-phpseclib CVE ID : CVE-2026-32935

    PHP Secure Communications LibraryのAES-CBC実装が、パディングオラクルタイミング攻撃の影響を受けやすいことがわかりました。

    旧安定版oldstableディストリビューションbookdomでは、これらの問題はバージョン 2.0.42-1+deb12u3 で修正されました。この更新では、CVE-2023-52892も修正されます。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 2.0.48-3+deb13u1 で修正されています。

    php-phpseclib パッケージをアップグレードすることを推奨します。

    php-phpseclib の詳細なセキュリティステータスについては、下記のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/php-phpseclib

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 41 ホストには、FEDORA-2025-91d6e174d9 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2023-52892、CVE-2024-27354のセキュリティ修正

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2025-b38cbff99d のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2023-52892、CVE-2024-27354のセキュリティ修正

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのUbuntu 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS/Pro Realtime 22.04 LTSホストには、 USN-8769-1 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    CBC モードで AES を使用している場合、phpseclib はコンスタントな時間内にパディング検証を実行しないことが判明しました。リモートの攻撃者がこの問題を悪用して、パディングオラクルタイミング攻撃を行い、秘密情報を取得する可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6185 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6185-1 security@debian.org https://www.debian.org/security/Moritz 2026 年 3 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ phpseclib CVE ID CVE-2026-32935

    PHP Secure Communications LibraryのAES-CBC実装が、パディングオラクルタイミング攻撃の影響を受けやすいことがわかりました。

    旧安定版oldstableディストリビューション (bookなし) では、これらの問題はバージョン 1.0.20-1+deb12u3 で修正されています。この更新では、CVE-2023-52892も修正されます。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 1.0.23-6+deb13u1 で修正されています。

    phpseclib パッケージをアップグレードすることを推奨します。

    phpseclib の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/phpseclib

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4670アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ----------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4670-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta、2026年7月5日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    パッケージ:php-phpseclib バージョン:2.0.30-2+deb11u3 CVE ID: CVE-2023-52892 CVE-2026-32935 CVE-2026-40194 CVE-2026-44167 CVE-2026-55599 Debian バグ:1131483

    いくつかの脆弱性が、PHP セキュア通信ライブラリである phpseclib で発見されました。これにより、ホスト名検証のバイパス、タイミングサイドチャネル攻撃、サービス拒否、およびサーバーサイドリクエスト偽造(SSRF)が引き起こされる可能性があります。

    CVE-2023-52892

        X509.php が、証明書の subjectAltName の正規表現の特殊文字を適切にエスケープしませんでした。これにより、細工された証明書が validateURL() でホスト名の検証をバイパスする可能性があります。

    CVE-2026-32935

        Crypt/Base.php のブロック暗号のパディング解除ルーチンは、短絡比較を使用してタイミングサイドチャネルを作成し、パディングオラクルスタイルの攻撃を助長する可能性があります。

    CVE-2026-40194

        SSH2 の実装は、可変時間文字列比較を使用して着信パケット HMAC を比較し、暗号素材でタイミングサイドチャネルを作成しました。

    CVE-2026-44167

        ASN.1 デコーダーの 4096 バイトのオブジェクト識別子制限(緩和 CVE-2024-27355)は、細工された ASN.1 構造を通じて OID 増幅のサービス拒否を引き起こすのに十分な大きさでした。

    CVE-2026-55599

        File_X509宛先を検証せずに証明書の機関情報アクセス拡張からURLを自動的にフェッチし、細工された証明書を介してSSRFを発生させる可能性があります。

    Debian 11 bullseye では、これらの問題はバージョン 2.0.30-2+deb11u3 で修正されました。

    お使いのphp-phpseclibパッケージをアップグレードすることを推奨します。

    php-phpseclib の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/php-phpseclib

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
304326	Debian dla-4518php-seclib - セキュリティ更新	Nessus	Debian Local Security Checks	2026/3/30	2026/3/30	high
233753	Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS: phpseclib の脆弱性 (USN-7404-1)	Nessus	Ubuntu Local Security Checks	2025/4/2	2025/9/3	high
304245	Debian dsa-6187 : php-phpseclib3 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/3/29	2026/4/5	high
304246	Debian dsa-6186 : php-phpseclib - セキュリティ更新	Nessus	Debian Local Security Checks	2026/3/29	2026/3/29	high
215152	Fedora 41 : php-phpseclib (2025-91d6e174d9)	Nessus	Fedora Local Security Checks	2025/2/8	2025/10/23	high
215157	Fedora 40 : php-phpseclib (2025-b38cbff99d)	Nessus	Fedora Local Security Checks	2025/2/9	2025/10/23	high
346235	Ubuntu 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS/Pro Realtime 22.04 LTS:phpseclibの脆弱性(USN-8769-1)	Nessus	Ubuntu Local Security Checks	2026/9/16	2026/9/16	high
304247	Debian dsa-6185 : php-seclib - セキュリティ更新	Nessus	Debian Local Security Checks	2026/3/29	2026/3/29	high
325133	Debian dla-4670:php-phpseclib - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/6	2026/7/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high