The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - h2o is an open source http server. In code prior to the `8c0eca3` commit h2o may attempt to access     uninitialized memory. When receiving QUIC frames in certain order, HTTP/3 server-side implementation of     h2o can be misguided to treat uninitialized memory as HTTP/3 frames that have been received. When h2o is     used as a reverse proxy, an attacker can abuse this vulnerability to send internal state of h2o to backend     servers controlled by the attacker or third party. Also, if there is an HTTP endpoint that reflects the     traffic sent from the client, an attacker can use that reflector to obtain internal state of h2o. This     internal state includes traffic of other connections in unencrypted form and TLS session tickets. This     vulnerability exists in h2o server with HTTP/3 support, between commit 93af138 and d1f0f65. None of the     released versions of h2o are affected by this vulnerability. There are no known workarounds. Users of     unreleased versions of h2o using HTTP/3 are advised to upgrade immediately. (CVE-2021-43848)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the 1d3677a8-9143-42d8-84a3-0585644dff4b advisory.

  - h2o is an open source http server. In code prior to the `8c0eca3` commit h2o may attempt to access     uninitialized memory. When receiving QUIC frames in certain order, HTTP/3 server-side implementation of     h2o can be misguided to treat uninitialized memory as HTTP/3 frames that have been received. When h2o is     used as a reverse proxy, an attacker can abuse this vulnerability to send internal state of h2o to backend     servers controlled by the attacker or third party. Also, if there is an HTTP endpoint that reflects the     traffic sent from the client, an attacker can use that reflector to obtain internal state of h2o. This     internal state includes traffic of other connections in unencrypted form and TLS session tickets. This     vulnerability exists in h2o server with HTTP/3 support, between commit 93af138 and d1f0f65. None of the     released versions of h2o are affected by this vulnerability. There are no known workarounds. Users of     unreleased versions of h2o using HTTP/3 are advised to upgrade immediately. (CVE-2021-43848)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - h2o はオープンソースの http サーバーです。「8c0eca3」コミットより前のコードでは、h2o が初期化されていないメモリへのアクセスを試行する可能性があります。特定の順序で QUIC フレームを受信する場合、h2o の HTTP/3 サーバー側の実装が誤って誘導され、初期化されていないメモリを受信した HTTP/3 フレームとして扱う可能性があります。h2o がリバースプロキシとして使用されている場合、攻撃者がこの脆弱性を悪用して、攻撃者またはサードパーティが制御するバックエンドサーバーに h2o の内部状態を送信する可能性があります。また、クライアントから送信されたトラフィックを反映する HTTP エンドポイントがある場合、攻撃者がそのリフレクターを使用して、h2o の内部状態を取得する可能性があります。この内部状態には、暗号化されていない形式の他の接続のトラフィックや TLS セッションチケットが含まれます。この脆弱性は、コミット 93af138 と d1f0f65 の間で、HTTP/3 サポートを備えた h2o サーバーにあります。h2o のリリースされたバージョンは、どれもこの脆弱性の影響を受けません。既知の回避策はありません。HTTP/3 を使用している未リリースのバージョンの h2o のユーザーは、直ちにアップグレードすることが推奨されます。(CVE-2021-43848)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - h2o 是開放原始碼的 http 伺服器。在 `8c0eca3` 認可之前的程式碼中h2o 可能嘗試存取未初始化的記憶體。當以特定順序接收 QUIC 框架時可誤導 h2o 的 HTTP/3 伺服器端實作將未初始化的記憶體視為已收到的 HTTP/3 框架。將 h2o 用作反向代理伺服器時攻擊者可濫用此弱點將 h2o 的內部狀態傳送至攻擊者或第三方控制的後端伺服器。此外如果有反映從用戶端傳送來的流量的 HTTP 端點攻擊者就可使用該反射程式取得 h2o 的內部狀態。此內部狀態包括未加密形式的其他連線流量和 TLS 工作階段票證。此弱點存在於具有 HTTP/3 支援的 h2o 伺服器中存在於認可 93af138 和 d1f0f65 之間。所有已發布的 h2o 版本均不受此弱點影響。目前尚無已知的因應措施。建議使用 HTTP/3 之 h2o 未發行版本的使用者立即升級。 (CVE-2021-43848)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - h2o 是一个开源 http 服务器。在“8c0eca3”提交之前的代码中h2o 可能会尝试访问未初始化的内存。按照特定顺序接收 QUIC 帧时h2o 的 HTTP/3 服务器端实现可能会受到误导将未初始化内存视为已接收 HTTP/3 帧。将 h2o 用作反向代理时攻击者会滥用此漏洞将 h2o 的内部状态发送到由攻击者或第三方控制的后端服务器。此外若有个 HTTP 端点反映从 客户端发送的流量攻击者可使用该反射器获取 h2o 的内部状态。此内部状态包括未加密形式的其他连接的流量和 TLS 会话票证。在提交 93af138 与 d1f0f65 之间具有 HTTP/3 支持的 h2o 服务器中存在此漏洞。已发行的 h2o 版本不受此漏洞的影响。没有已知的变通方案。建议使用 HTTP/3 的未发布 h2o 版本的用户立即升级。 (CVE-2021-43848)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、1d3677a8-9143-42d8-84a3-0585644dff4b のアドバイザリに記載されている脆弱性の影響を受けます。

  - h2o はオープンソースの http サーバーです。「8c0eca3」コミットより前のコードでは、h2o が初期化されていないメモリへのアクセスを試行する可能性があります。特定の順序で QUIC フレームを受信する場合、h2o の HTTP/3 サーバー側の実装が誤って誘導され、初期化されていないメモリを受信した HTTP/3 フレームとして扱う可能性があります。h2o がリバースプロキシとして使用されている場合、攻撃者がこの脆弱性を悪用して、攻撃者またはサードパーティが制御するバックエンドサーバーに h2o の内部状態を送信する可能性があります。また、クライアントから送信されたトラフィックを反映する HTTP エンドポイントがある場合、攻撃者がそのリフレクターを使用して、h2o の内部状態を取得する可能性があります。この内部状態には、暗号化されていない形式の他の接続のトラフィックや TLS セッションチケットが含まれます。この脆弱性は、コミット 93af138 と d1f0f65 の間で、HTTP/3 サポートを備えた h2o サーバーにあります。h2o のリリースされたバージョンは、どれもこの脆弱性の影響を受けません。既知の回避策はありません。HTTP/3 を使用している未リリースのバージョンの h2o のユーザーは、直ちにアップグレードすることが推奨されます。(CVE-2021-43848)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
258526	Linux Distros Unpatched Vulnerability : CVE-2021-43848	Nessus	Misc.	2025/8/30	2025/8/30	medium
184466	FreeBSD : h2o -- uninitialised memory access in HTTP3 (1d3677a8-9143-42d8-84a3-0585644dff4b)	Nessus	FreeBSD Local Security Checks	2023/11/6	2023/11/7	medium
258526	Linux Distros のパッチ未適用の脆弱性: CVE-2021-43848	Nessus	Misc.	2025/8/30	2025/8/30	medium
258526	Linux Distros 未修補的弱點：CVE-2021-43848	Nessus	Misc.	2025/8/30	2025/8/30	medium
258526	Linux Distros 未修补的漏洞：CVE-2021-43848	Nessus	Misc.	2025/8/30	2025/8/30	medium
184466	FreeBSD: h2o -- HTTP3 における初期化されていないメモリアクセス (1d3677a8-9143-42d8-84a3-0585644dff4b)	Nessus	FreeBSD Local Security Checks	2023/11/6	2023/11/7	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium