CentOS 9：cockpit-368-1.el9
high Nessus 插件 ID 363460
语言：
简介
远程 CentOS 主机缺少一个或多个 cockpit 安全更新。描述
远程 CentOS Linux 9 主机上存在安装的程序包，该程序包受到 .el9 版本变更日志中提及的 cockpit-368-1多个漏洞的影响。- 在 Cockpit 中发现一个缺陷。未经身份验证的远程攻击者可利用此漏洞，通过发起并维持与“cockpit-tls”服务的多个同时连接。这会强制服务创建无限数量的分离线程，从而消耗系统资源（例如内存和文件描述符）。主要后果为拒绝服务 （DoS），从而导致合法用户的 Cockpit 服务降级或完全不可用。（CVE-2026-91149）
- .fc45 的cockpit-368-1自动更新。 ##### **cockpit 的变更日志** ''' * 2026 年 9 月 23 日星期三 Packit <[email protected]> - 368-1 - 限制并发连接 CVE-2026-91149 - 针对结尾斜杠CVE-2026-91147强化 cockpit-ws - 审查 PackageKit CVE-2026-91148 中的 URL - SSH 密钥的交互式文件选择器 - 缺陷补丁和翻译更新 - 解决了 RHEL-263070、 RHEL-262891RHEL-253609 针对 rhel-10.4 - 针对 rhel-9.10 ''' （CVE-2026-91148） 解决了RHEL-263066
- 在“cockpit-ws”中发现一个缺陷。此漏洞允许未经认证的远程攻击者通过发送特别构建的请求造成拒绝服务 （DoS）。当配置了“WebService.UrlRoot”并且请求确切的 URL-root 前缀没有结尾斜线时，“cockpit-ws”可能意外终止。此问题可导致 Cockpit Web 服务不可用。
(CVE-2026-91147)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新 CentOS 9 Stream cockpit 程序包。另见
https://kojihub.stream.centos.org/koji/buildinfo?buildID=131305
插件详情
严重性: High
ID: 363460
文件名: centos9_cockpit-368-1_131305.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/6
最近更新时间: 2026/10/6
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 5
百分位: 93.18
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-91149
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:centos:centos:9, p-cpe:/a:centos:centos:cockpit-bridge, p-cpe:/a:centos:centos:cockpit-doc, p-cpe:/a:centos:centos:cockpit-packagekit, p-cpe:/a:centos:centos:cockpit-storaged, p-cpe:/a:centos:centos:cockpit-system, p-cpe:/a:centos:centos:cockpit-ws-selinux, p-cpe:/a:centos:centos:cockpit-ws, p-cpe:/a:centos:centos:cockpit
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/CentOS/release, Host/CentOS/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/9/30
漏洞发布日期: 2026/9/18