The remote Fedora 41 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2025-c38fd06bec advisory.

    Mojolicious versions from 0.999922 through 9.39 for Perl uses a hard coded string, or the application's     class name, as a HMAC session secret by default.

    Mojolicious  9.39 added EXPERIMENTAL support for encrypted session cookies. This feature is much more     secure than signed cookies and can be enabled by installing CryptX and setting the encrypted attribute.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Mojolicious versions from 0.999922 for Perl uses a hard coded string, or the application's class name, as     an HMAC session cookie secret by default. These predictable default secrets can be exploited by an     attacker to forge session cookies. An attacker who knows or guesses the secret could compute valid HMAC     signatures for the session cookie, allowing them to tamper with or hijack another user's session.
    (CVE-2024-58134)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-985 advisory.

    Mojolicious versions from 0.999922 through 9.39 for Perl uses a hard coded string, or the application's     class name, as a HMAC session secret by default.

    These predictable default secrets can be exploited to forge session cookies. An attacker who knows or     guesses the secret could compute valid HMAC signatures for the session cookie, allowing them to tamper     with or hijack another user's session. (CVE-2024-58134)

    Mojolicious versions from 7.28 through 9.39 for Perl may generate weak HMAC session secrets.

    When creating a default app with the mojo generate app tool, a weak secret is written to the     application's configuration file using the insecure rand() function, and used for authenticating and     protecting the integrity of the application's sessions. This may allow an attacker to brute force the     application's session keys.++6330 (CVE-2024-58135)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

因此，该软件受到 ALAS2023-2025-985 公告中提及的多个漏洞影响。

    适用于 Perl 的 0.999922 至 9.39 的Mojolicious 版本默认使用硬编码字符串或应用程序的类名称作为 HMAC 会话密钥。

    可利用这些可预测的默认密码伪造会话 Cookie。知道或猜测密码的攻击者可计算会话 cookie 的有效 HMAC 签名从而篡改或劫持其他用户的会话。 (CVE-2024-58134)

    适用于 Perl 的 7.28 到 9.39 版的 Mojolicious 可能会生成弱 HMAC 会话密钥。

    当通过 mojo 生成应用程序工具创建默认应用程序时系统会使用不安全的 rand() 函数将弱密钥写入应用程序的配置文件中并用于认证和保护应用程序会话的完整性。这可允许攻击者暴力破解应用程序的会话密钥。++6330 (CVE-2024-58135)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 适用于 Perl 的 0.999922 及之前版本的 Mojolicious 版本默认使用硬编码字符串或应用程序的类名称作为 HMAC 会话 Cookie 密钥。攻击者可利用这些可预测的默认密码伪造会话 Cookie。知道或猜测密码的攻击者可计算会话 cookie 的有效 HMAC 签名从而篡改或劫持其他用户的会话。
    (CVE-2024-58134)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，會受到 ALAS2023-2025-985 公告中所提及的多個弱點影響。

    Perl 的 0.999922 至 9.39 版本的 Mojolicious 依預設使用硬式編碼字串或應用程式的類別名稱作為 HMAC 工作階段密碼。

    這些可預測的預設密碼可遭惡意利用來偽造工作階段 Cookie。知道或猜到密碼的攻擊者可計算工作階段 cookie 的有效 HMAC 簽章進而允許他們竄改或劫持其他使用者的工作階段。 (CVE-2024-58134)

     7.28 至 9.39 的 Perl 版本 Mojolicious 可能會產生弱式 HMAC 工作階段密碼。

    使用 mojo generate app 工具建立預設應用程式時系統會使用不安全的 rand() 函式將弱式密碼寫入應用程式的設定檔並用來驗證和保護應用程式工作階段的完整性。攻擊者可藉此暴力密碼破解應用程式的工作階段金鑰。++6330 (CVE-2024-58135)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 0.999922 起適用於 Perl 的 Mojolicious 版本依預設使用硬式編碼字串或應用程式的類別名稱做為 HMAC 工作階段 Cookie 密碼。攻擊者可惡意利用這些可預測的預設密碼偽造工作階段 Cookie。知道或猜到密碼的攻擊者可計算工作階段 cookie 的有效 HMAC 簽章進而允許他們竄改或劫持其他使用者的工作階段。
    (CVE-2024-58134)

請注意，Nessus 依賴供應商報告的套件存在。

したがって、ALAS2023-2025-985 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

    これらの予測可能なデフォルトシークレットが悪用されて、セッションクッキーが偽造される可能性があります。秘密を知っているまたは推測する攻撃者が、セッションクッキーのために有効な HMAC 署名を計算し、他のユーザーのセッションを改ざんしたりハイジャックしたりする可能性があります。CVE-2024-58134

    Perl 用の 7.28 から 9.39 のMojolicious バージョンは、脆弱な HMAC セッションシークレットを生成する可能性があります。

    mojo 生成アプリツールを使用してデフォルトのアプリを作成するとき、安全でない rand() 関数を使用してアプリケーションの構成ファイルに弱いシークレットが書き込まれ、アプリケーションのセッションの整合性を認証および保護するために使用されます。これにより、攻撃者がアプリケーションのセッションキーをブルートフォースできる可能性があります。++6330CVE-2024-58135

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の 0.999922 からの Mojolicious バージョンは、デフォルトで HMAC セッションクッキーシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。攻撃者が、これらの予測可能なデフォルトシークレットを悪用し、セッションクッキーを偽造する可能性があります。秘密を知っているまたは推測する攻撃者が、セッションクッキーのために有効な HMAC 署名を計算し、他のユーザーのセッションを改ざんしたりハイジャックしたりする可能性があります。
    (CVE-2024-58134)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 41 ホストには、FEDORA-2025-c38fd06bec のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

    Mojolicious 9.39 は暗号化されたセッションクッキーに対するEXPERIMENTAL サポートを追加しました。この機能は署名付きクッキーよりもはるかに安全で、CryptX をインストールして暗号化属性を設定することで有効にできます。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
236992	Fedora 41 : perl-Mojolicious (2025-c38fd06bec)	Nessus	Fedora Local Security Checks	2025/5/21	2025/5/21	high
258717	Linux Distros Unpatched Vulnerability : CVE-2024-58134	Nessus	Misc.	2025/8/30	2025/10/27	high
237678	Amazon Linux 2023 : perl-Mojolicious, perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
258717	Linux Distros 未修补的漏洞：CVE-2024-58134	Nessus	Misc.	2025/8/30	2025/10/27	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-Mojo (ALAS2023-2025-985)	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
258717	Linux Distros 未修補的弱點：CVE-2024-58134	Nessus	Misc.	2025/8/30	2025/10/27	high
237678	Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985	Nessus	Amazon Linux Local Security Checks	2025/6/2	2025/6/2	high
258717	Linux Distros のパッチ未適用の脆弱性: CVE-2024-58134	Nessus	Misc.	2025/8/30	2025/10/27	high
236992	Fedora 41perl-Mojolicious2025-c38fd06bec	Nessus	Fedora Local Security Checks	2025/5/21	2025/5/21	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high