There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - MariaDB Connector/J is used to connect applications developed in Java to MariaDB and MySQL databases.
    Prior to 2.7.14, 3.3.5, 3.4.3, and 3.5.9, when a Java application connects with sslMode=verify-full or
    sslMode=verify-ca, supplies a password, and does not configure serverSslCert or trustStore, Connector/J
    can accept an untrusted self-signed certificate through the fallbackToSystemTrustStore=true ephemeral
    trust manager and record its certFingerprint for later identity binding. The OK-packet and authentication-
    switch paths enforce the certificate fingerprint, but the initial-handshake path does not.
    HandshakeResponse.encode() can therefore build and send a mysql_clear_password response before checking
    certFingerprint != null && !isMitMProof(), sslMode, or whether the authentication plugin is resistant to a
    man-in-the-middle, and the initial path also bypasses restrictedAuth. An active man-in-the-middle or
    hostile server can present a self-signed certificate, claim to be MariaDB, select mysql_clear_password as
    the initial authentication plugin, and receive the full database password before the connection is
    rejected. This issue is fixed in versions 2.7.14, 3.3.5, 3.4.3, and 3.5.9. (CVE-2026-55856)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - MariaDB Connector/J 用於將以 Java 開發的應用程式連接到 MariaDB 和 MySQL 資料庫。
    在 2.7.14、 、 3.3.53.4.33.5.9及 之前，當 Java 應用程式以 sslMode=verify-full 或 sslMode=verify-ca 連線、提供密碼，且未配置 serverSslCert 或 trustStore 時，Connector/J 可以透過 fallbackToSystemTrustStore=true 暫時性信任管理程式接受不受信任的自我簽署憑證，並記錄其 certFingerprint 以供稍後的身分連結。OK-packet 和 authentication-switch 路徑會強制執行憑證指紋，但初始交握路徑不會。
    因此，HandshakeResponse.encode（） 可以在檢查 certFingerprint ！= null &&; ！isMitMProof（）、sslMode 或驗證外掛程式是否抵抗中間人之前建立並傳送mysql_clear_password回應，而且初始路徑也會繞過 restrictedAuth。作用中的中間人或敵對伺服器可以提供自我簽署的憑證，宣稱是 MariaDB，選擇 mysql_clear_password 作為初始驗證外掛程式，並在連線被拒絕之前收到完整的資料庫密碼。此問題已在 2.7.14、3.3.5、3.4.3 和 3.5.9 版中修正。(CVE-2026-55856)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MariaDB Connector/J 用于将使用 Java 开发的应用程序连接到 MariaDB 和 MySQL 数据库。
    在 、 3.3.5和 3.4.33.5.9之前，2.7.14当 Java 应用程序使用 sslMode=verify-full 或 sslMode=verify-ca 连接、提供密码但未配置 serverSslCert 或 trustStore 时，Connector/J 可以通过 fallbackToSystemTrustStore=true 临时信任管理器接受不受信任的自签名证书，并记录其 certFingerprint 以供以后的身份绑定。OK-packet 和 authentication-switch 路径会强制使用证书指纹，但初始握手路径不会。
    因此，HandshakeResponse.encode（） 可在检查 certFingerprint ！= null &; ！isMitMProof（）、sslMode 或身份验证插件是否抗中间人问题（初始路径也会绕过 restrictedAuth）之前构建并发送mysql_clear_password响应。活动的中间人或恶意服务器可提供自签名证书，声明自己是 MariaDB，选择mysql_clear_password作为初始认证插件，并在连接被拒绝前接收完整的数据库密码。此问题已在 2.7.14、3.3.5、3.4.3 和 3.5.9 版本中得到修补。(CVE-2026-55856)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MariaDB Connector/J は、Java で開発されたアプリケーションを MariaDB および MySQL データベースに接続するために使用されます。
    2.7.14、3.3.5、3.4.3、3.5.9より前に、JavaアプリケーションがsslMode=verify-fullまたはsslMode=verify-caで接続し、パスワードを提供し、serverSslCertまたはtrustStoreを構成しない場合、Connector/JはfallbackToSystemTrustStore=trueエフェメラルトラストマネージャーを介して信頼されていない自己署名証明書を受け取り、後でIDバインディングするためにcertFingerprintを記録できます。OK パケットおよび認証スイッチパスは証明書のフィンガープリントを強制しますが、初期ハンドシェイクパスはそうしません。
    したがって、HandshakeResponse.encode() は、certFingerprint != null &; !isMitMProof()、sslMode、または認証プラグインが中間者に対して耐性があるかどうかをチェックする前に、mysql_clear_password応答を構築して送信する可能性があります。また、初期パスも restrictedAuth をバイパスします。アクティブな中間者または敵対的なサーバーが、自己署名の証明書を提示し、MariaDB であると主張し、初期認証プラグインとして mysql_clear_password を選択し、接続が拒否される前に完全なデータベースパスワードを受け取ることができます。この問題はバージョン 2.7.14、3.3.5、3.4.3、3.5.9 で修正されています。(CVE-2026-55856)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - MariaDB Connector/J is used to connect applications developed in Java to MariaDB and MySQL databases.
    Prior to 2.7.14, 3.3.5, 3.4.3, and 3.5.9, when a Java application connects with sslMode=verify-full or     sslMode=verify-ca, supplies a password, and does not configure serverSslCert or trustStore, Connector/J     can accept an untrusted self-signed certificate through the fallbackToSystemTrustStore=true ephemeral     trust manager and record its certFingerprint for later identity binding. The OK-packet and authentication-     switch paths enforce the certificate fingerprint, but the initial-handshake path does not.
    HandshakeResponse.encode() can therefore build and send a mysql_clear_password response before checking     certFingerprint != null && !isMitMProof(), sslMode, or whether the authentication plugin is resistant to a     man-in-the-middle, and the initial path also bypasses restrictedAuth. An active man-in-the-middle or     hostile server can present a self-signed certificate, claim to be MariaDB, select mysql_clear_password as     the initial authentication plugin, and receive the full database password before the connection is     rejected. This issue is fixed in versions 2.7.14, 3.3.5, 3.4.3, and 3.5.9. (CVE-2026-55856)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
461212	Echo: org.mariadb.jdbc:mariadb-java-client: security update to 2.7.14	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
461212	Echo: org.mariadb.jdbc:mariadb-java-client: security update to 2.7.14	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
342406	Linux Distros 未修補弱點：CVE-2026-55856	Nessus	Misc.	2026/9/2	2026/11/11	medium
342406	Linux Distros 未修补的漏洞：CVE-2026-55856	Nessus	Misc.	2026/9/2	2026/11/11	medium
342406	Linux Distros のパッチ未適用の脆弱性: CVE-2026-55856	Nessus	Misc.	2026/9/2	2026/11/11	medium
342406	Linux Distros Unpatched Vulnerability : CVE-2026-55856	Nessus	Misc.	2026/9/2	2026/11/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium