Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 提供 Java 实用工具的库 mchange-commons-java 包含的代码反映了 JNDI 功能的早期实现，其中包括对远程“factoryClassLocation”值的支持，通过这些支持可在正在运行的应用程序中下载和调用代码。如果攻击者可诱使应用程序读取恶意构建的“jaxax.naming.Reference”或序列化对象，则可诱使下载并执行恶意代码。默认情况下，此功能在 JDK 中的实现在默认为“false”、“com.sun.jndi.ldap.object.trustURLCodebase”的 System 属性后面禁用。但是，由于 mchange-commons-java 包含独立的 JNDI 取消引用实现，通过该实现解析引用的库（例如 c3p0）可被诱使下载并执行恶意代码，即使在 JDK 强化之后也是如此。
    与 JDK 修补程序一致，mchange-commons-java 的 JNDI 功能由配置参数限制，这些参数默认为从版本 0.4.0 开始的限制值。目前尚无已知的解决方法。应用程序 CLASSPATH 应避免使用低于 0.4.0 的版本。(CVE-2026-27727)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-27727

high Nessus 插件 ID 324901

版本 1.1