Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.12.6より前のProsodyで、13.0.5より前の13.0.0を通じて1.0.0に問題が発見されました。サービス拒否は、認証されていない接続からのメモリリークによって引き起こされるメモリの枯渇を介して発生する可能性があります。
    (CVE-2026-43506)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-36c53b9ca8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    #韻律 13.0.5

    Upstream は、安定したブランチからの新しいマイナーリリースを発表できることを嬉しく思います。

    これは、Prosody 13.0.x 安定版(stable)シリーズのセキュリティリリースです。これは、以前のリリース以来実装されている複数のセキュリティ問題、一部のメモリリーク、およびいくつかの軽微なバグや変更を修正します。

    セキュリティの脆弱性についての詳細は、Upstream の [セキュリティアドバイザリ](https://prosody.im/security/advisory_735dd9d3/)を参照してください。Upstream は、 13.0.4 またはそれ以前の Prosody の全オペレーターに対して、なるべく早く 13.0.5 にアップグレードするか、アドバイザリを確認して適切な緩和策を実装することが推奨されます。

    このリリースでの変更のサマリー:

    ## セキュリティ
     - mod_proxy65:認証チェックを一貫して適用します
     - mod_proxy65:バイトストリームが有効化されるまでデータをプロキシしません
     - mod_c2s、mod_s2s:新しい事前認証スタンザサイズ制限を導入します
     - stanza 最大子要素の制限を追加します
     - mod_c2s:切断時にタイマーをすぐに削除します
     - net.server_epoll:切断後にタイマーをクリーンアップします

    ## 修正と改善
     - net.http.parser:チャンクされたリクエストの処理を修正します
     - MUC:JID 会議室の帽子機能をアドバタイズ
     - moduleapi:set の代わりに複数テーブルの追加/削除を使用します(メモリリークを修正します)
     - mod_cloud_notify:「send_iq()」を使用することによる iq 応答ハンドラーの漏洩を修正します
     - IP アドレスのみを使用するサーバーとのフェデレーションを改善します
     - prosody:システム全体にインストールされた場合、ローカルコードがロードされることを防ぎます
     - mod_http_file_share:範囲リクエストの処理を改善します
     - mod_carbons:一部の炭素の意思決定のバグを修正します

    ## マイナーな変更
     - net.resolvers:IP アドレスの SRV 検索を回避するために修正します
     - prosody:互換性のない Lua バージョンで早期に中止
     - mod_turn_external:タイプ「==」の認証情報を配布することも順番になります
     - mod_s2s:ストリームアドレス指定を完全に検証
     - prosodyctl チェック機能:http ファイル共有がホストとコンポーネントの両方で有効になっている場合に警告します
     - util.prosodyctl:無効になっているmod_posixをチェックせず、廃止予定です
     - util.startup:構成ファイルのロードに失敗したときのエラーメッセージを改善します
     - util.x509:iPAddress 証明書のサポートを追加します
     - prosodyctl:パスワードエントリから末尾の改行を削除します
     - mod_admin_shell:cert インデックス検索パスを構成ファイルに関連するものにします
     - mod_admin_shell:マルチホストコマンド処理を改善します
     - mod_admin_shell:セクション名のみを指定する場合、ヘルプリストを表示
     - mod_admin_shell:新規/既存ユーザーにパスワードを設定する際にパスワードの有効性を確保します
     - mod_account_activity:ユーザー情報を返さない認証プロバイダーを処理します
     - config:enum オプションの値が正しくない場合、デフォルト値を使用します
     - mod_http:ストリーミングリクエストを処理して、リダイレクトハンドラーの呼び出しを回避します


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-1efa008794 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    #韻律 13.0.5

    Upstream は、安定したブランチからの新しいマイナーリリースを発表できることを嬉しく思います。

    これは、Prosody 13.0.x 安定版(stable)シリーズのセキュリティリリースです。これは、以前のリリース以来実装されている複数のセキュリティ問題、一部のメモリリーク、およびいくつかの軽微なバグや変更を修正します。

    セキュリティの脆弱性についての詳細は、Upstream の [セキュリティアドバイザリ](https://prosody.im/security/advisory_735dd9d3/)を参照してください。Upstream は、 13.0.4 またはそれ以前の Prosody の全オペレーターに対して、なるべく早く 13.0.5 にアップグレードするか、アドバイザリを確認して適切な緩和策を実装することが推奨されます。

    このリリースでの変更のサマリー:

    ## セキュリティ
     - mod_proxy65:認証チェックを一貫して適用します
     - mod_proxy65:バイトストリームが有効化されるまでデータをプロキシしません
     - mod_c2s、mod_s2s:新しい事前認証スタンザサイズ制限を導入します
     - stanza 最大子要素の制限を追加します
     - mod_c2s:切断時にタイマーをすぐに削除します
     - net.server_epoll:切断後にタイマーをクリーンアップします

    ## 修正と改善
     - net.http.parser:チャンクされたリクエストの処理を修正します
     - MUC:JID 会議室の帽子機能をアドバタイズ
     - moduleapi:set の代わりに複数テーブルの追加/削除を使用します(メモリリークを修正します)
     - mod_cloud_notify:「send_iq()」を使用することによる iq 応答ハンドラーの漏洩を修正します
     - IP アドレスのみを使用するサーバーとのフェデレーションを改善します
     - prosody:システム全体にインストールされた場合、ローカルコードがロードされることを防ぎます
     - mod_http_file_share:範囲リクエストの処理を改善します
     - mod_carbons:一部の炭素の意思決定のバグを修正します

    ## マイナーな変更
     - net.resolvers:IP アドレスの SRV 検索を回避するために修正します
     - prosody:互換性のない Lua バージョンで早期に中止
     - mod_turn_external:タイプ「==」の認証情報を配布することも順番になります
     - mod_s2s:ストリームアドレス指定を完全に検証
     - prosodyctl チェック機能:http ファイル共有がホストとコンポーネントの両方で有効になっている場合に警告します
     - util.prosodyctl:無効になっているmod_posixをチェックせず、廃止予定です
     - util.startup:構成ファイルのロードに失敗したときのエラーメッセージを改善します
     - util.x509:iPAddress 証明書のサポートを追加します
     - prosodyctl:パスワードエントリから末尾の改行を削除します
     - mod_admin_shell:cert インデックス検索パスを構成ファイルに関連するものにします
     - mod_admin_shell:マルチホストコマンド処理を改善します
     - mod_admin_shell:セクション名のみを指定する場合、ヘルプリストを表示
     - mod_admin_shell:新規/既存ユーザーにパスワードを設定する際にパスワードの有効性を確保します
     - mod_account_activity:ユーザー情報を返さない認証プロバイダーを処理します
     - config:enum オプションの値が正しくない場合、デフォルト値を使用します
     - mod_http:ストリーミングリクエストを処理して、リダイレクトハンドラーの呼び出しを回避します


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-2947986ad6 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    #韻律 13.0.5

    Upstream は、安定したブランチからの新しいマイナーリリースを発表できることを嬉しく思います。

    これは、Prosody 13.0.x 安定版(stable)シリーズのセキュリティリリースです。これは、以前のリリース以来実装されている複数のセキュリティ問題、一部のメモリリーク、およびいくつかの軽微なバグや変更を修正します。

    セキュリティの脆弱性についての詳細は、Upstream の [セキュリティアドバイザリ](https://prosody.im/security/advisory_735dd9d3/)を参照してください。Upstream は、 13.0.4 またはそれ以前の Prosody の全オペレーターに対して、なるべく早く 13.0.5 にアップグレードするか、アドバイザリを確認して適切な緩和策を実装することが推奨されます。

    このリリースでの変更のサマリー:

    ## セキュリティ
     - mod_proxy65:認証チェックを一貫して適用します
     - mod_proxy65:バイトストリームが有効化されるまでデータをプロキシしません
     - mod_c2s、mod_s2s:新しい事前認証スタンザサイズ制限を導入します
     - stanza 最大子要素の制限を追加します
     - mod_c2s:切断時にタイマーをすぐに削除します
     - net.server_epoll:切断後にタイマーをクリーンアップします

    ## 修正と改善
     - net.http.parser:チャンクされたリクエストの処理を修正します
     - MUC:JID 会議室の帽子機能をアドバタイズ
     - moduleapi:set の代わりに複数テーブルの追加/削除を使用します(メモリリークを修正します)
     - mod_cloud_notify:「send_iq()」を使用することによる iq 応答ハンドラーの漏洩を修正します
     - IP アドレスのみを使用するサーバーとのフェデレーションを改善します
     - prosody:システム全体にインストールされた場合、ローカルコードがロードされることを防ぎます
     - mod_http_file_share:範囲リクエストの処理を改善します
     - mod_carbons:一部の炭素の意思決定のバグを修正します

    ## マイナーな変更
     - net.resolvers:IP アドレスの SRV 検索を回避するために修正します
     - prosody:互換性のない Lua バージョンで早期に中止
     - mod_turn_external:タイプ「==」の認証情報を配布することも順番になります
     - mod_s2s:ストリームアドレス指定を完全に検証
     - prosodyctl チェック機能:http ファイル共有がホストとコンポーネントの両方で有効になっている場合に警告します
     - util.prosodyctl:無効になっているmod_posixをチェックせず、廃止予定です
     - util.startup:構成ファイルのロードに失敗したときのエラーメッセージを改善します
     - util.x509:iPAddress 証明書のサポートを追加します
     - prosodyctl:パスワードエントリから末尾の改行を削除します
     - mod_admin_shell:cert インデックス検索パスを構成ファイルに関連するものにします
     - mod_admin_shell:マルチホストコマンド処理を改善します
     - mod_admin_shell:セクション名のみを指定する場合、ヘルプリストを表示
     - mod_admin_shell:新規/既存ユーザーにパスワードを設定する際にパスワードの有効性を確保します
     - mod_account_activity:ユーザー情報を返さない認証プロバイダーを処理します
     - config:enum オプションの値が正しくない場合、デフォルト値を使用します
     - mod_http:ストリーミングリクエストを処理して、リダイレクトハンドラーの呼び出しを回避します


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12/13ホストには、dsa-6252アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6252-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:prosody CVE ID: CVE-2026-43504 CVE-2026-43505 CVE-2026-43506 CVE-2026-43507

    軽量の Jabber/XMPP サーバーである Prosody に、SOCKS5 プロキシモジュールを使用する際に、サービス拒否または不十分なアクセスコントロールを引き起こす可能性がある複数のセキュリティ問題が見つかりました。

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 0.12.3-1+deb12u1 で修正されています。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 13.0.1-1+deb131u で修正されています。

    prosodyパッケージをアップグレードすることをお勧めします。

    prosodyの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/prosody

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
311714	Linux Distros のパッチ未適用の脆弱性: CVE-2026-43506	Nessus	Misc.	2026/5/2	2026/9/2	high
313719	Fedora 43:prosody(2026-36c53b9ca8)	Nessus	Fedora Local Security Checks	2026/5/10	2026/5/10	high
313718	Fedora 42:prosody(2026-1efa008794)	Nessus	Fedora Local Security Checks	2026/5/10	2026/5/10	high
313721	Fedora 44:prosody(2026-2947986ad6)	Nessus	Fedora Local Security Checks	2026/5/10	2026/5/10	high
313163	Debian dsa-6252:prosody - セキュリティ更新	Nessus	Debian Local Security Checks	2026/5/7	2026/5/7	high

検出

プラグインの検索

high

high

high

high

high