Linux Distros 未修补的漏洞：CVE-2026-64684

medium Nessus 插件 ID 346886

语言：

简介

Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。

描述

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

- RMCP 是模型上下文协议的官方 Rust SDK。在版本之前 2.1.0，rmcp crate 在 crates/rmcp/src/transport/common/reqwest/streamable_http_client.rs 中的 StreamableHttpClientTransport 使用 reqwest 的自动重定向策略构建其default_http_client，并应用来自 StreamableHttpClientTransportConfig.custom_headers 的调用程序提供的值，而不将其标记为敏感。当恶意或遭到破坏的 MCP 端点返回跨源 307 或 308 重定向时，reqwest 会遵循该重定向，并apply_custom_headers造成自定义 API 密钥或认证标记重播到新的源，让攻击者可以捕获并重用它们。单独的 auth_header 路径不受影响，因为它使用标准授权标头，该标头在跨源重定向时要求剥离。此问题已在 2.1.0 版本中修复。(CVE-2026-64684)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

解决方案

目前尚未有任何已知的解决方案。

另见

https://access.redhat.com/security/cve/cve-2026-64684

插件详情

严重性: Medium

ID: 346886

文件名: unpatched_CVE_2026_64684.nasl

版本: 1.2

类型: Local

代理: unix

系列: Misc.

发布时间: 2026/9/17

最近更新时间: 2026/9/18

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus