リモートの Fedora 43 ホストには、FEDORA-2026-fb1f15ce04 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    perl-Compress-Taw-Bzip2 - 2.218 perl-IO-Compress に更新 - 2.221 に更新 - CVE-2025-15649、 CVE-2026-48959、 CVE-2026-48961、 CVE-2026-48962


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-7ecfdcf0e3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    perl-Compress-Taw-Bzip2 - 2.218 perl-IO-Compress に更新 - 2.221 に更新 - CVE-2025-15649、 CVE-2026-48959、 CVE-2026-48961、 CVE-2026-48962


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1825 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Perl に対する 2.220 より前の IO::Uncompress::Unzip バージョンにより、fastForward でのバイトごとの読み取りループにより CPU が消耗する可能性があります。

    fastForward() は、長さ $offset (オフセットの桁数、1 から 19) を、$offset 自体ではなくチャンクサイズ$cと比較するため、$c は反復ごとに 16 KiB から 1 から 19 バイトに縮小されます。

    IO::Uncompress::Unzip->new($zip, Name => $target) を介して攻撃者が指定した zip から名前付きのエントリを抽出すると、エントリの圧縮サイズで、バイトごとの読み取りループが、非 Zip64 の 4 GiB 上限まで拡大縮小されます。(CVE-2026-48959)

    IO::Compress バージョンを 2.220 用に 2.207 から圧縮します Perl では zipdetails CLI ツールが 8 バイトの UID または GID のある Info-ZIP Unix Extra Field の未定義のサブルーチンでクラッシュします。

    bin/zipdetails の decode_ux() が UID Size または GID Size が 8 に設定された Info-ZIP Unix Extra Field(タグ 0x7875)を処理すると、zipdetails が 8 バイトの UID または GID 値をデコードするため、decodeLitteEndian() を通じてディスパッチされ、間違った名前のヘルパー unpackValueQ が呼び出されます。同じファイルで定義されている実際の関数は、unpackValue_Q (アンダースコア付き) です。この呼び出しが「Undefined subroutine &main::unpackValueQ」を引き起こし、スクリプトはステータス 255 で終了します。

    IO::Compress および IO::Uncompress のライブラリ呼び出し元は影響を受けません。不具合は、バンドルされている CLI ツールにあります。(CVE-2026-48961)

    Perl に対して 2.220 される前の IO::Compress のバージョンは、攻撃者がコントロールする出力 glob を介して、File::GlobMapper で任意のコードを実行する可能性があります。

    _parseOutputGlob() は、呼び出し元指定の出力 glob 文字列を二重引用符で囲み、パーサー状態で保存します。次に_getFiles()は、保存された式をeval STRING経由で実行します。出力globのリテラル二重引用符はdquoteラッパーを閉じ、それに続く文字はPerlとして評価されます。

    出力 glob の任意の Perl が、呼び出し側プロセスの権限で実行されます。(CVE-2026-48962)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - IO::2.220 以前の 2.207 のバージョンを圧縮します Perl では zipdetails CLI ツールが 8 バイトの UID または GID のある Info-ZIP Unix Extra Field の未定義のサブルーチンでクラッシュする zipdetails CLI ツールが出荷されています。bin/zipdetails の decode_ux() が UID Size または GID Size が 8 に設定された Info-ZIP Unix Extra Field(タグ 0x7875)を処理すると、zipdetails が 8 バイトの UID または GID 値をデコードするため、decodeLitteEndian() を通じてディスパッチされ、間違った名前のヘルパー unpackValueQ が呼び出されます。同じファイルで定義されている実際の関数は、unpackValue_Q (アンダースコア付き) です。この呼び出しが「Undefined subroutine &main::unpackValueQ」を引き起こし、スクリプトはステータス 255 で終了します。IO::Compress および IO::Uncompress のライブラリ呼び出し元は影響を受けません。不具合は、バンドルされている CLI ツールにあります。(CVE-2026-48961)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21177-1 アドバイザリで言及されています。

    perl-IO-Compress の変更:

    - 2.220.0 (2.220) に更新済み /usr/share/doc/packages/perl-IO-Compress/Changes を参照してください

        2.220 2026 年 5 月 16 日
          * globmapper における eval の使用を削除します。 #73 CVE-2026-48962 bsc#1266382
          * zipdetails をバージョン 4.006 に更新してください。
            CVE-2026-48961 bsc#1266381
          * fastForward での誤字を修正します #72
          * AnyInflate の「rawdeflate」オプションに関する問題を修正します。 #71

    - 2.219.0 (2.219) に更新済み /usr/share/doc/packages/perl-IO-Compress/Changes を参照してください

        2.219 2026 年 3 月 9 日
          * いくつかの入力ミスを修正します
          * スカッシュの繰り返しセミコロン
          * 依存バージョンチェックを一貫性のあるものにし、モジュールをバージョン 2.219 に更新します。2026 年 3 月 8 日 #70 2.218 修正
          * zipdetails をバージョン 4.005 にリフレッシュします https://github.com/pmqs/zipdetails* バージョンから提供 2.218
          * SECURITY.md を追加、修正 #69
          * スペリングミスを修正します
          * ファイルの更新変更
          * README のリリース日を更新します
          * 2026 年 2 月 1 日 https://github.com/pmqs/zipdetails2.217 以降の zipdetails をリフレッシュ
          * README のリリース日を更新します
          * zipdetails を https://github.com/pmqs/zipdetails* からリフレッシュ interop テストを実行する前に GZIP 環境変数を削除 修正 #24
          * 2026 年 1 月 31 日 2.217 2.216 にバージョンを更新
            * バージョンを以下に更新 2.216
            * IO::Compress @2.215: テストファイルがないため t/006zip.t が失敗します #67 2.215 2026 年 1 月 31 日
            * 000prereq.t でのバージョンチェックを修正します
            * に対する更新変更 2.215
            * バージョンを 2.215 に更新し、著作権年を 2026 年に変更
            * unzip 機能でゼロおよび無効な日時値を処理するためのテストを追加します。#65 の修正
            * ゼロおよび無効な日時値を処理するための_dosToUnixTimeを強化します。エッジケースのテストを追加します。
    #65 を修正します

    - 2.214.0 (2.214) に更新済み /usr/share/doc/packages/perl-IO-Compress/Changes を参照してください

        2.214 2025 年 10 月 24 日
            * バージョン 2.214
            * IO::Compress::Gzip が、他のモジュールの「$EXPORT_TAGS{all}->@*」を誤って変更します。修正 #64
            * Windows ワークフロー YAML のインデントを修正します
            * windows.yml除外セクションのインデントを修正します
            * masiuchi/fix/ci-errors からのプルリクエスト #63 をマージします
            * ストロベリー配布のあるPerl 5.42 を GitHub Actions から除外します
            * FreeBSD画像を Cirrus CI の 14.3 に更新します
            * 警察のワークフローファイルに dependabot.yml ファイルを追加
            * perl 5.42 をワークフローファイルに追加
            * streamzip の誤字を修正 https://github.com/pmqs/Compress-Raw-Zlib/issues/34* #59 修正

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
325616	Fedora 43:perl-Compress-Raw-Bzip2 / perl-IO-Compress(2026-fb1f15ce04)	Nessus	Fedora Local Security Checks	2026/7/8	2026/7/8	high
322855	Fedora 44:perl-Compress-Raw-Bzip2 / perl-IO-Compress(2026-7ecfdcf0e3)	Nessus	Fedora Local Security Checks	2026/6/26	2026/7/2	high
322002	2023 Amazon Linux:perl-IO-Compress、perl-IO-Compress-tests(ALAS2023-2026-1825)	Nessus	Amazon Linux Local Security Checks	2026/6/22	2026/7/3	high
317091	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48961	Nessus	Misc.	2026/5/27	2026/11/11	high
324886	openSUSE 16 セキュリティ更新:perl-IO-Compress(openSUSE-SU-2026:21177-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	high

検出

プラグインの検索

high

high

high

high

high