Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - RT はオープンソースのエンタープライズグレードの問題およびチケット追跡システムです。6.0.0 から 6.0.2 までのバージョンに加えて、5.0.9 およびそれ以前のバージョンには、ユーザー認証に LDAP/AD を使用する RT インストールの認証バイパスの脆弱性が含まれています。特定の LDAP サーバー構成で、攻撃者が有効な認証情報を提示せずに、LDAP がバックアップした RT ユーザーとして認証できる可能性があります。この問題は、バージョン 5.0.10 および 6.0.3 で修正されました。開発者がすぐにアップグレードできない場合は、LDAPサーバーの認証ポリシーを確認して、認証されていないバインドの試行が拒否されることを確認することで、この問題を一時的に回避できます。RT のアップグレードは、依然として推奨される修正です。(CVE-2026-41076)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 12/13ホストには、dsa-6324アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6324-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 6 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:request-tracker5 CVE ID: CVE-2026-6841 CVE-2026-41073 CVE-2026-41075 CVE-2026-41076 CVE-2026-44229 CVE-2026-44230 CVE-2026-44231

    複数の脆弱性が、拡張トラブルチケット追跡システムである Request Tracker で発見されました。これにより、権限昇格、情報漏洩、SQL インジェクション、LDAP 認証バイパス、クロスサイトスクリプティングまたはスプレッドシート(CSV/数式)インジェクションが発生する可能性があります。

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 5.0.3+dfsg-3~deb12u6 で修正されています。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 5.0.7+dfsg-4+deb13u3 で修正されています。

    request-tracker5 パッケージをアップグレードすることを推奨します。

    request-tracker5 の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/request-tracker5

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、DSA-6327アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debianセキュリティアドバイザリ DSA-6327-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 6 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:request-tracker4 CVE ID: CVE-2026-6841 CVE-2026-41073 CVE-2026-41075 CVE-2026-41076 CVE-2026-44229 CVE-2026-44231

    複数の脆弱性が、拡張トラブルチケット追跡システムである Request Tracker で発見されました。これにより、権限昇格、情報漏洩、SQL インジェクション、LDAP 認証バイパス、クロスサイトスクリプティングまたはスプレッドシート(CSV/数式)インジェクションが発生する可能性があります。

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 4.4.6+dfsg-1.1+deb12u4 で修正されています。

    お使いのrequest-tracker4パッケージをアップグレードすることを推奨します。

    request-tracker4 の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/request-tracker4

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには、USN-8506-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Aleksander Iwicki 氏は、Request Tracker が検索ページ URL パラメーターを適切にサニタイズしていないことを発見しました。リモートの攻撃者が、この問題を利用して、折り返し型クロスサイトスクリプティング攻撃を仕掛ける可能性があります。(CVE-2026-6841)

    Request Tracker が、検索結果のスプレッドシートエクスポートに書き込まれたユーザーコントロールのデータを適切にサニタイズしていないことが発見されました。リモートの攻撃者がこの問題を悪用してスプレッドシート(CSV/数式)インジェクション攻撃を仕掛け、ファイルが開かれたときにスプレッドシートアプリケーションに細工された値を数式またはマクロとして解釈させる可能性があります。(CVE-2026-41073)

    Request Tracker が、JSON 検索の entry_aggregator パラメーターを介してデータベースクエリに組み込まれた入力を適切に検証しないことが判明しました。認証されたユーザーがこの問題を利用して、SQL インジェクション攻撃を仕掛け、RT データベースのデータの読み取りまたは変更を行う可能性があります。(CVE-2026-41075)

    Request Tracker は、LDAP または Active Directory サーバーに対してユーザーを認証するように構成された場合、認証バイパスを含むことが判明しました。特定の LDAP サーバー構成で、リモートの攻撃者がこの問題を利用して、有効な認証情報を提供せずに、LDAP がバックアップする RT ユーザーとして認証する可能性があります。(CVE-2026-41076)

    Request Tracker が、アップロードされた特定のコンテンツを、添付ファイルとしてではなくインラインで提供することが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。
    (CVE-2026-44229)

    Request Tracker が、検索結果チャートページの入力を適切にサニタイズしていないことが判明しました。リモートの攻撃者が、この問題を利用して、折り返し型クロスサイトスクリプティング攻撃を仕掛ける可能性があります。
    (CVE-2026-44230)

    Jeroen Gui 氏は、Request Tracker が REST 2.0 ユーザー収集エンドポイントへのアクセスを適切に制限していないことを発見しました。特権ユーザーがこの問題を悪用して、管理者を含む他のユーザーに属する認証情報を入手し、その結果、権限昇格や情報漏えいを引き起こす可能性があります。(CVE-2026-44231)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
316437	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41076	Nessus	Misc.	2026/5/22	2026/7/7	high
319608	Debian dsa-6324:request-tracker5 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/6	2026/6/6	medium
319633	Debian dsa-6327:request-tracker4 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/8	2026/6/8	medium
325431	Ubuntu 22.04 LTS/ 24.04 LTS/ 26.04 LTS:Request Tracker の脆弱性(USN-8506-1)	Nessus	Ubuntu Local Security Checks	2026/7/7	2026/7/7	medium

検出

プラグインの検索

high

medium

medium

medium