The remote Fedora 42 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-fddaaaf9f0 advisory.

    2.1900     [Fixed] - CVE-2025-40918 (Insecure source of randomness), required addition of dependency on     Crypt::URandom     [Changed] - Modules Authen::SASL::Perl::CRAM_MD5, Authen::SASL::Perl::DIGEST_MD5 and     Authen::SASL::CRAM_MD5 marked as deprecated based on the respective RFC documents;
    - Update module metadata to point to the new 'perl-authen-sasl' org on GitHub to which the modules moved
    - Use VERSION declarations in 'package' statements, since our minimum Perl version is 5.14 anyway

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Authen::SASL::Perl::DIGEST_MD5 versions 2.04 through 2.1800 for Perl generates the cnonce insecurely. The     cnonce (client nonce) is generated from an MD5 hash of the PID, the epoch time and the built-in rand     function. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not     leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage.
    According to RFC 2831, The cnonce-value is an opaque quoted string value provided by the client and used     by both client and server to avoid chosen plaintext attacks, and to provide mutual authentication. The     security of the implementation depends on a good choice. It is RECOMMENDED that it contain at least 64     bits of entropy. (CVE-2025-40918)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Perl 的 Authen::SASL::Perl::DIGEST_MD5 2.04 至 2.1800 版以不安全的方式產生 cnonce。cnonce (用戶端 nonce) 是從 PID、epoch 時間和內建 rand 函式的 MD5 雜湊產生。PID 將來自一小組數字且若 epoch 時間未從 HTTP 日期標頭洩漏則可猜測到 epoch 時間。內建的 rand 函式不適合密碼編譯使用。
    根據 RFC 2831cnonce 值是由用戶端提供的不透明引用字串值用戶端和伺服器皆使用該值來避免選擇純文字攻擊並提供相互驗證。實作的安全性取決於一個好的選擇。建議其中包含至少 64 位元的熵。 (CVE-2025-40918)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の Authen::SASL::Perl::DIGEST_MD5 バージョン 2.04 から 2.1800 は、安全でない方法で cnonce を生成します。cnonceクライアント nonceは、PID、エポックタイムおよびビルトイン rand 関数の MD5 ハッシュから生成されます。PID は小さな数字のセットから生じ、エポックタイムは HTTP Date ヘッダーから漏洩されない限り、推測される可能性があります。ビルトイン rand 関数は、暗号化使用に適していません。
    RFC 2831 によると、cnonce-value は、クライアントによって提供される不透明な引用符付き文字列値で、選択平文攻撃を回避し、相互認証を提供するためにクライアントとサーバーの両方で使用されます。実装のセキュリティは、適切な選択によって決まります。少なくとも 64 ビットのエントロピーを含むことが推奨されています。CVE-2025-40918

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 适用于 Perl 的 Authen::SASL::Perl::DIGEST_MD5 版本 2.04 至 2.1800 不安全地生成 cnonce。cnonce客户端临时信息是根据 PID 的 MD5 哈希、纪元时间和内置 rand 函数生成的。如果未从 HTTP 日期标头泄漏PID 将来自一小组数字并且可以猜测epoch 时间。内置 rand 函数不适合用于加密用途。
    根据 RFC 2831cnonce 值是客户端提供的不透明引用的字符串值客户端和服务器都使用它来避免选择明文攻击并提供相互认证。实现的安全性取决于正确的选择。建议其包含至少 64 位的熵。 (CVE-2025-40918)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 perl-Authen-SASL 版本低于 2.15-10。因此，它受到 ALAS2-2025-2967 公告中提及的一个漏洞影响。

    适用于 Perl 的 Authen::SASL::Perl::DIGEST_MD5 版本 2.04 到 2.1800 不安全地生成 cnonce。

    cnonce客户端临时信息是根据 PID 的 MD5 哈希、纪元时间和内置 rand 函数生成的。如果未从 HTTP 日期标头泄漏PID 将来自一小组数字并且可以猜测epoch 时间。内置 rand 函数不适合用于加密用途。

    根据 RFC 2831cnonce 值是客户端提供的不透明引用的字符串值客户端和服务器都使用它来避免选择明文攻击并提供相互认证。实现的安全性取决于正确的选择。建议其包含至少 64 位的熵。 (CVE-2025-40918)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Fedora 42 ホストには、FEDORA-2025-fddaaaf9f0 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    2.1900 [修正] - CVE-2025-40918 ランダム性の安全でないソース、Crypt::URandom での依存関係の追加が必要 [変更] - モジュール Authen::SASL::Perl::CRAM_MD5、Authen::SASL::Perl::DIGEST_MD5 のモジュールおよび Authen::SASL::CRAM_MD5 が、それぞれの RFC ドキュメントに基づいて廃止としてマークされました。
    - モジュールの移動先である GitHub 上の新しい「perl-authen-sasl」org を指すように、モジュールメタデータを更新します
    - 最低 Perl バージョンが 5.14 であるため、「package」ステートメント内の宣言を使用します

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2025-1156 advisory.

    Authen::SASL::Perl::DIGEST_MD5 versions 2.04 through 2.1800 for Perl generates the cnonce insecurely.

    The cnonce (client nonce) is generated from an MD5 hash of the PID, the epoch time and the built-in rand     function. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not     leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage.

    According to RFC 2831, The cnonce-value is an opaque quoted string value provided by the client and used     by both client and server to avoid chosen plaintext attacks, and to provide mutual authentication. The     security of the implementationdepends on a good choice. It is RECOMMENDED that it contain at least 64 bits     of entropy. (CVE-2025-40918)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 perl-Authen-SASL 版本比 2.15-10舊。因此，它會受到 ALAS2-2025-2967 公告中提及的一個弱點影響。

    Perl 的 Authen::SASL::Perl::DIGEST_MD5 版本 2.04 至 2.1800 以不安全的方式產生 cnonce。

    cnonce (用戶端 nonce) 是從 PID、epoch 時間和內建 rand 函式的 MD5 雜湊產生。PID 將來自一小組數字且若 epoch 時間未從 HTTP 日期標頭洩漏則可猜測到 epoch 時間。內建的 rand 函式不適合密碼編譯使用。

    根據 RFC 2831cnonce 值是由用戶端提供的不透明引用字串值用戶端和伺服器皆使用該值來避免選擇純文字攻擊並提供相互驗證。實作的安全性取決於一個好的選擇。建議其中包含至少 64 位元的熵。 (CVE-2025-40918)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the defe9a20-781e-11f0-97c4-40b034429ecf advisory.

    p5-Authen-SASL project reports:
    Authen::SASL::Perl::DIGEST_MD5 versions 2.04 through 2.1800 for Perl generates the cnonce insecurely.
    The cnonce (client nonce) is generated from an MD5 hash of the PID, the epoch time and the built-in rand     function.
                 The PID will come from a small set of numbers, and the epoch time may be guessed, if it is     not leaked from the HTTP Date header.
                 The built-in rand function is unsuitable for cryptographic usage.
    According to RFC 2831, The cnonce-value is an opaque quoted string value provided by the client and used     by both client and server                  to avoid chosen plaintext attacks, and to provide mutual authentication. The security of the     implementation depends on a good choice.
                 It is RECOMMENDED that it contain at least 64 bits of entropy.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of perl-Authen-SASL installed on the remote host is prior to 2.15-10. It is, therefore, affected by a vulnerability as referenced in the ALAS2-2025-2967 advisory.

    Authen::SASL::Perl::DIGEST_MD5 versions 2.04 through 2.1800 for Perl generates the cnonce insecurely.

    The cnonce (client nonce) is generated from an MD5 hash of the PID, the epoch time and the built-in rand     function. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not     leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage.

    According to RFC 2831, The cnonce-value is an opaque quoted string value provided by the client and used     by both client and server to avoid chosen plaintext attacks, and to provide mutual authentication. The     security of the implementationdepends on a good choice. It is RECOMMENDED that it contain at least 64 bits     of entropy. (CVE-2025-40918)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、defe9a20-781e-11f0-97c4-40b034429ecf のアドバイザリに記載されている脆弱性の影響を受けます。

    p5-Authen-SASL プロジェクトのレポート
    Perl 用の Authen::SASL::Perl::DIGEST_MD5 バージョン 2.04 から 2.1800 は、安全でない方法で cnonce を生成します。
    cnonceクライアント nonceは、PID、エポックタイムおよびビルトイン rand 関数の MD5 ハッシュから生成されます。
                 PID は小さな数字のセットから生じ、エポックタイムは HTTP Date ヘッダーから漏洩されない限り、推測される可能性があります。
                 ビルトイン rand 関数は、暗号化使用に適していません。
    RFC 2831 によると、cnonce-value は、クライアントによって提供される不透明な引用符付き文字列値で、選択平文攻撃を回避し、相互認証を提供するためにクライアントとサーバーの両方で使用されます。実装のセキュリティは、適切な選択によって決まります。
                 少なくとも 64 ビットのエントロピーを含むことが推奨されています。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている perl-Authen-SASL のバージョンは、 より前の です。 2.15-10 したがって、ALAS2-2025-2967 のアドバイザリに記載されている脆弱性の影響を受けます。

    Perl 用の Authen::SASL::Perl::DIGEST_MD5 バージョン 2.04 から 2.1800 は、安全でない方法で cnonce を生成します。

    cnonceクライアント nonceは、PID、エポックタイムおよびビルトイン rand 関数の MD5 ハッシュから生成されます。PID は小さな数字のセットから生じ、エポックタイムは HTTP Date ヘッダーから漏洩されない限り、推測される可能性があります。ビルトイン rand 関数は、暗号化使用に適していません。

    RFC 2831 によると、cnonce-value は、クライアントによって提供される不透明な引用符付き文字列値で、選択平文攻撃を回避し、相互認証を提供するためにクライアントとサーバーの両方で使用されます。実装のセキュリティは、適切な選択になっています。少なくとも 64 ビットのエントロピーを含むことが推奨されています。CVE-2025-40918

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
249330	Fedora 42 : perl-Authen-SASL (2025-fddaaaf9f0)	Nessus	Fedora Local Security Checks	2025/8/14	2025/8/14	medium
246831	Linux Distros Unpatched Vulnerability : CVE-2025-40918	Nessus	Misc.	2025/8/9	2025/9/2	medium
246831	Linux Distros 未修補的弱點：CVE-2025-40918	Nessus	Misc.	2025/8/9	2025/9/2	medium
246831	Linux Distros のパッチ未適用の脆弱性: CVE-2025-40918	Nessus	Misc.	2025/8/9	2025/9/2	medium
246831	Linux Distros 未修补的漏洞：CVE-2025-40918	Nessus	Misc.	2025/8/9	2025/9/2	medium
252297	Amazon Linux 2 : perl-Authen-SASLALAS-2025-2967	Nessus	Amazon Linux Local Security Checks	2025/8/19	2025/8/19	medium
249330	Fedora 42perl-Authen-SASL2025-fddaaaf9f0	Nessus	Fedora Local Security Checks	2025/8/14	2025/8/14	medium
261742	Amazon Linux 2023 : perl-Authen-SASL (ALAS2023-2025-1156)	Nessus	Amazon Linux Local Security Checks	2025/9/8	2025/9/8	medium
252297	Amazon Linux 2perl-Authen-SASL (ALAS-2025-2967)	Nessus	Amazon Linux Local Security Checks	2025/8/19	2025/8/19	medium
249327	FreeBSD : p5-Authen-SASL -- Insecure source of randomness (defe9a20-781e-11f0-97c4-40b034429ecf)	Nessus	FreeBSD Local Security Checks	2025/8/14	2025/8/14	medium
252297	Amazon Linux 2 : perl-Authen-SASL (ALAS-2025-2967)	Nessus	Amazon Linux Local Security Checks	2025/8/19	2025/8/19	medium
249327	FreeBSDp5-Authen-SASL -- ランダム性の安全でないソースdefe9a20-781e-11f0-97c4-40b034429ecf	Nessus	FreeBSD Local Security Checks	2025/8/14	2025/8/14	medium
252297	Amazon Linux 2perl-Authen-SASLALAS-2025-2967	Nessus	Amazon Linux Local Security Checks	2025/8/19	2025/8/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium