Linux Distros 未修补的漏洞:CVE-2026-78254

high Nessus 插件 ID 343526

简介

Linux/Unix 主机上安装的一个或多个程序包存在漏洞,但供应商表示不会修补此漏洞。

描述

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响,而供应商没有提供补丁程序。

- Apache Ant 的 ftp 和 scp 任务可从远程服务器下载文件。恶意服务器可提供相对路径,使其可以在用于下载的专用目标目录之外写入,从而可能利用在低于 Ant 1.10.18的版本中运行 Ant 的用户权限覆盖攻击者所选的文件。要利用此漏洞,服务器必须是恶意的,或者容易遭受中间机器攻击。此外,对于使用 ftps 的 scp 或 ftp 任务,服务器必须通过由任务执行的服务器身份检查。对于不使用 ftps 的 ftp 任务,恶意服务器可充当中间程序提供恶意文件。
从 Ant 1.10.18 开始,默认情况下这两个任务都将阻止在目标目录之外写入。
如果现有构建文件需要旧行为,则提供一个选项来禁用此行为。缓解措施:任何 Ant 版本中的 scp 和 ftp(使用 ftps 时)的用户都不应绕过服务器标识检查。未使用 ftps 的 ftp 用户应尽可能切换到 ftps。建议所有用户升级到 Apache Ant 1.10.18,其中修复了此问题。(CVE-2026-78254)

请注意,Nessus 依赖供应商报告的程序包是否存在进行判断。

解决方案

目前尚未有任何已知的解决方案。

另见

https://access.redhat.com/security/cve/cve-2026-78254

https://security-tracker.debian.org/tracker/CVE-2026-78254

插件详情

严重性: High

ID: 343526

文件名: unpatched_CVE_2026_78254.nasl

版本: 1.2

类型: Local

代理: unix

系列: Misc.

发布时间: 2026/9/7

最近更新时间: 2026/9/8

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.3

百分位: 53.41

CVSS v2

风险因素: Medium

基本分数: 5.8

时间分数: 4.9

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N

CVSS 分数来源: CVE-2026-78254

CVSS v3

风险因素: High

基本分数: 7.4

时间分数: 6.8

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

时间矢量: CVSS:3.0/E:U/RL:U/RC:C

漏洞信息

CPE: cpe:/o:centos:centos:7, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:centos:centos:ant-antlr, p-cpe:/a:centos:centos:ant-apache-bcel, p-cpe:/a:centos:centos:ant-apache-bsf, p-cpe:/a:centos:centos:ant-apache-log4j, p-cpe:/a:centos:centos:ant-apache-oro, p-cpe:/a:centos:centos:ant-apache-regexp, p-cpe:/a:centos:centos:ant-apache-resolver, p-cpe:/a:centos:centos:ant-commons-logging, p-cpe:/a:centos:centos:ant-commons-net, p-cpe:/a:centos:centos:ant-javadoc, p-cpe:/a:centos:centos:ant-javamail, p-cpe:/a:centos:centos:ant-jdepend, p-cpe:/a:centos:centos:ant-jmf, p-cpe:/a:centos:centos:ant-jsch, p-cpe:/a:centos:centos:ant-junit, p-cpe:/a:centos:centos:ant-manual, p-cpe:/a:centos:centos:ant-nodeps, p-cpe:/a:centos:centos:ant-scripts, p-cpe:/a:centos:centos:ant-swing, p-cpe:/a:centos:centos:ant-trax, p-cpe:/a:centos:centos:ant, p-cpe:/a:centos:centos:batik-demo, p-cpe:/a:centos:centos:batik-javadoc, p-cpe:/a:centos:centos:batik-rasterizer, p-cpe:/a:centos:centos:batik-slideshow, p-cpe:/a:centos:centos:batik-squiggle, p-cpe:/a:centos:centos:batik-svgpp, p-cpe:/a:centos:centos:batik-ttf2svg, p-cpe:/a:centos:centos:batik, p-cpe:/a:centos:centos:codemodel-javadoc, p-cpe:/a:centos:centos:codemodel, p-cpe:/a:centos:centos:ecj, p-cpe:/a:centos:centos:glassfish-jaxb-bom-ext, p-cpe:/a:centos:centos:glassfish-jaxb-bom, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel-annotation-compiler, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel-parent, p-cpe:/a:centos:centos:glassfish-jaxb-codemodel, p-cpe:/a:centos:centos:glassfish-jaxb-core, p-cpe:/a:centos:centos:glassfish-jaxb-external-parent, p-cpe:/a:centos:centos:glassfish-jaxb-parent, p-cpe:/a:centos:centos:glassfish-jaxb-rngom, p-cpe:/a:centos:centos:glassfish-jaxb-runtime-parent, p-cpe:/a:centos:centos:glassfish-jaxb-runtime, p-cpe:/a:centos:centos:glassfish-jaxb-txw-parent, p-cpe:/a:centos:centos:glassfish-jaxb-txw2, p-cpe:/a:centos:centos:glassfish-jaxb, p-cpe:/a:centos:centos:groovy-javadoc, p-cpe:/a:centos:centos:groovy, p-cpe:/a:centos:centos:jandex-javadoc, p-cpe:/a:centos:centos:jandex, p-cpe:/a:centos:centos:jmc, p-cpe:/a:centos:centos:maven-antrun-plugin-javadoc, p-cpe:/a:centos:centos:maven-antrun-plugin, p-cpe:/a:centos:centos:maven-invoker-plugin-javadoc, p-cpe:/a:centos:centos:maven-invoker-plugin, p-cpe:/a:centos:centos:maven-plugin-annotations, p-cpe:/a:centos:centos:maven-plugin-plugin, p-cpe:/a:centos:centos:maven-plugin-tools-annotations, p-cpe:/a:centos:centos:maven-plugin-tools-api, p-cpe:/a:centos:centos:maven-plugin-tools-generators, p-cpe:/a:centos:centos:maven-plugin-tools-java, p-cpe:/a:centos:centos:maven-plugin-tools-javadoc, p-cpe:/a:centos:centos:maven-plugin-tools, p-cpe:/a:centos:centos:maven-script-interpreter-javadoc, p-cpe:/a:centos:centos:maven-script-interpreter, p-cpe:/a:centos:centos:maven-shared-jar-javadoc, p-cpe:/a:centos:centos:maven-shared-jar, p-cpe:/a:centos:centos:objectweb-anttask-javadoc, p-cpe:/a:centos:centos:objectweb-anttask, p-cpe:/a:centos:centos:plexus-ant-factory-javadoc, p-cpe:/a:centos:centos:plexus-ant-factory, p-cpe:/a:centos:centos:testng-javadoc, p-cpe:/a:centos:centos:testng, p-cpe:/a:centos:centos:tomcat-jakartaee-migration, p-cpe:/a:centos:centos:txw2-javadoc, p-cpe:/a:centos:centos:txw2, p-cpe:/a:debian:debian_linux:ant, p-cpe:/a:redhat:enterprise_linux:ant-antlr, p-cpe:/a:redhat:enterprise_linux:ant-apache-bcel, p-cpe:/a:redhat:enterprise_linux:ant-apache-bsf, p-cpe:/a:redhat:enterprise_linux:ant-apache-log4j, p-cpe:/a:redhat:enterprise_linux:ant-apache-oro, p-cpe:/a:redhat:enterprise_linux:ant-apache-regexp, p-cpe:/a:redhat:enterprise_linux:ant-apache-resolver, p-cpe:/a:redhat:enterprise_linux:ant-commons-logging, p-cpe:/a:redhat:enterprise_linux:ant-commons-net, p-cpe:/a:redhat:enterprise_linux:ant-javadoc, p-cpe:/a:redhat:enterprise_linux:ant-javamail, p-cpe:/a:redhat:enterprise_linux:ant-jdepend, p-cpe:/a:redhat:enterprise_linux:ant-jmf, p-cpe:/a:redhat:enterprise_linux:ant-jsch, p-cpe:/a:redhat:enterprise_linux:ant-junit, p-cpe:/a:redhat:enterprise_linux:ant-manual, p-cpe:/a:redhat:enterprise_linux:ant-nodeps, p-cpe:/a:redhat:enterprise_linux:ant-scripts, p-cpe:/a:redhat:enterprise_linux:ant-swing, p-cpe:/a:redhat:enterprise_linux:ant-trax, p-cpe:/a:redhat:enterprise_linux:ant, p-cpe:/a:redhat:enterprise_linux:batik-demo, p-cpe:/a:redhat:enterprise_linux:batik-javadoc, p-cpe:/a:redhat:enterprise_linux:batik-rasterizer, p-cpe:/a:redhat:enterprise_linux:batik-slideshow, p-cpe:/a:redhat:enterprise_linux:batik-squiggle, p-cpe:/a:redhat:enterprise_linux:batik-svgpp, p-cpe:/a:redhat:enterprise_linux:batik-ttf2svg, p-cpe:/a:redhat:enterprise_linux:batik, p-cpe:/a:redhat:enterprise_linux:codemodel-javadoc, p-cpe:/a:redhat:enterprise_linux:codemodel, p-cpe:/a:redhat:enterprise_linux:ecj, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-bom-ext, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-bom, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel-annotation-compiler, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-codemodel, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-core, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-external-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-rngom, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-runtime-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-runtime, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-txw-parent, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb-txw2, p-cpe:/a:redhat:enterprise_linux:glassfish-jaxb, p-cpe:/a:redhat:enterprise_linux:groovy-javadoc, p-cpe:/a:redhat:enterprise_linux:groovy, p-cpe:/a:redhat:enterprise_linux:jandex-javadoc, p-cpe:/a:redhat:enterprise_linux:jandex, p-cpe:/a:redhat:enterprise_linux:jmc, p-cpe:/a:redhat:enterprise_linux:maven-antrun-plugin-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-antrun-plugin, p-cpe:/a:redhat:enterprise_linux:maven-invoker-plugin-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-invoker-plugin, p-cpe:/a:redhat:enterprise_linux:maven-plugin-annotations, p-cpe:/a:redhat:enterprise_linux:maven-plugin-plugin, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-annotations, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-api, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-generators, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-java, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-plugin-tools, p-cpe:/a:redhat:enterprise_linux:maven-script-interpreter-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-script-interpreter, p-cpe:/a:redhat:enterprise_linux:maven-shared-jar-javadoc, p-cpe:/a:redhat:enterprise_linux:maven-shared-jar, p-cpe:/a:redhat:enterprise_linux:objectweb-anttask-javadoc, p-cpe:/a:redhat:enterprise_linux:objectweb-anttask, p-cpe:/a:redhat:enterprise_linux:plexus-ant-factory-javadoc, p-cpe:/a:redhat:enterprise_linux:plexus-ant-factory, p-cpe:/a:redhat:enterprise_linux:testng-javadoc, p-cpe:/a:redhat:enterprise_linux:testng, p-cpe:/a:redhat:enterprise_linux:tomcat-jakartaee-migration, p-cpe:/a:redhat:enterprise_linux:txw2-javadoc, p-cpe:/a:redhat:enterprise_linux:txw2

必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier

易利用性: No known exploits are available

漏洞发布日期: 2026/9/7

参考资料信息

CVE: CVE-2026-78254