Linux Distros 未修补的漏洞：CVE-2026-54890
high Nessus 插件 ID 330383
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Erlang otp erlang/otp（erts 模块）、erlang otp erts（erts 模块）中的整数下溢（封装或回绕）漏洞允许强制整数溢出、过度分配。此漏洞与程序文件 erts/emulator/beam/external.c、emulator/beam/external.c 相关联。外部术语格式 （ETF） 解码器中的 BIT_BINARY_EXT 标签 （77） 处理程序接受长度和尾部位字段都设置为零的编码。随后的位串大小计算会下溢一个无符号整数，产生大约 2^64 的值，然后将其作为内存分配大小进行传递。分配器中止整个节点，并显示“无法分配2305843009213693951字节的内存（二进制类型）”之类的消息。崩溃为 VM 级别的中止，而非 Erlang 级别的异常。无法通过监督树、try/catch 或将 [safe] 选项传递到 binary_to_term/2（这仅限制 atom 创建，不执行二进制编码的结构验证）来拦截它。任何通过 binary_to_term/1,2 或 enif_binary_to_term（） 从不受信任的来源解码 ETF 的应用程序都会暴露出来。Erlang 分发协议也会通过相同的代码路径解码传入的术语，但根据 OTP 安全编码指南 （DSG-011），分发应该在受信任的网络上运行。此问题会影响来自 OTP 27.0 的 OTP，对应于 OTP 29.0.4之前17.0.4的 15.0 OTP 15.2.7.1128.5.0.416.4.0.4 和 。27.3.4.15（CVE-2026-54890）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: High
ID: 330383
文件名: unpatched_CVE_2026_54890.nasl
版本: 1.1
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/7/28
最近更新时间: 2026/7/28
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.73
CVSS v2
风险因素: Medium
基本分数: 6.4
时间分数: 5.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:P
CVSS 分数来源: CVE-2026-54890
CVSS v3
风险因素: High
基本分数: 7.7
时间分数: 7.1
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
风险因素: High
Base Score: 8.2
Threat Score: 4.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:14.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:debian:debian_linux:11.0, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:canonical:ubuntu_linux:erlang, p-cpe:/a:debian:debian_linux:erlang
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/7/27
参考资料信息
CVE: CVE-2026-54890