There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - SCRAM (Salted Challenge Response Authentication Mechanism) is part of the family of Simple Authentication
    and Security Layer (SASL, RFC 4422) authentication mechanisms. Prior to version 3.2, a timing attack
    vulnerability exists in the SCRAM Java implementation. The issue arises because Arrays.equals was used to
    compare secret values such as client proofs and server signatures. Since Arrays.equals performs a short-
    circuit comparison, the execution time varies depending on how many leading bytes match. This behavior
    could allow an attacker to perform a timing side-channel attack and potentially infer sensitive
    authentication material. All users relying on SCRAM authentication are impacted. This vulnerability has
    been patched in version 3.1 by replacing Arrays.equals with MessageDigest.isEqual, which ensures constant-
    time comparison. (CVE-2025-59432)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - SCRAM (Salted Challenge Response Authentication Mechanism) 是 Simple Authentication and Security Layer (SASL、RFC 4422) 驗證機制系列的一員。 3.2之前的版本中SCRAM Java 實作存在定時攻擊弱點。發生此問題的原因是使用 Arrays.equals 來比較密碼值 (例如用戶端證明與伺服器簽章)。由於 Arrays.equals 會執行 short-circuit 比較因此執行時間會根據符合的前置位元組數而有所不同。此行為可允許攻擊者執行計時旁路攻擊並可能推斷出敏感的驗證資料。所有依賴 SCRAM 驗證的使用者都會受到影響。此弱點已在 3.1 版中以 MessageDigest.isEqual 取代 Arrays.equals 來修補這可確保進行常數時間比較。 (CVE-2025-59432)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SCRAMSalted 质询响应认证机制是简单认证和安全层 (SASL, RFC 4422) 认证机制系列的一部分。在低于版本 3.2的SCRAM Java 实现中存在一个时序攻击漏洞。出现此问题的原因是 Arrays.equals 用于比较机密值例如客户端打样和服务器签名。由于 Arrays.equals 执行短路比较因此执行时间会根据匹配的前导字节的数量而有所不同。此行为可允许攻击者执行时序边信道攻击并可能推断出敏感认证材料。所有依赖 SCRAM 认证的用户都会受到影响。此漏洞已在版本 3.1 中得到修补方法是将 Arrays.equals 替换为 MessageDigest.isEqual从而确保了比较。 (CVE-2025-59432)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:4054-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-59432SCRAM 認証におけるタイミング攻撃の脆弱性を修正しましたbsc#1250399

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - SCRAM (Salted Challenge Response Authentication Mechanism) は、Simple Authentication and Security Layer (SASL、RFC 4422) 認証メカニズムのファミリーの一部です。バージョン 3.2より前では、タイミング攻撃の脆弱性が SCRAM Java 実装にあります。この問題は、クライアントの証明やサーバーの署名などの秘密の値を比較するために Arrays.equals が使用されていたために発生します。Arrays.equals は短絡比較を実行するため、一致する先頭バイト数によって実行時間は異なります。この動作により、攻撃者はタイミングサイドチャネル攻撃を実行し、秘密の認証マテリアルを推測する可能性があります。SCRAM 認証に依存するすべてのユーザーが影響を受けます。この脆弱性は、Arrays.equals を MessageDigest.isEqual に置き換えることにより、バージョン 3.1 でパッチされています。これにより、一定時間の比較が保証されています。CVE-2025-59432

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストには、openSUSE- SU-2025-20059-1 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-59432SCRAM 認証におけるタイミング攻撃の脆弱性を修正しましたbsc#1250399

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのSUSE Linux SLES16 /SLES_SAP16ホストには、 SUSE-SU-2026:21608-1 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    ongres-scram での変更:

    - バージョン 3.2
      * SCRAM 認証のタイミング攻撃の脆弱性を修正します(bsc#1250399、 CVE-2025-59432)
      * 依存関係と maven プラグインを更新しました
      * central-publishing-maven-pluginを使用して、Maven Centralに展開します。

    - Java 9+ クラスファイルが module-info.class のみの場合、マルチリリースの jar を作成しません

    ongres-stringprep の変更:

    - Java 9+ クラスファイルが module-info.class のみの場合、マルチリリースの jar を作成しません

    plexus-testing の変更:

    - テストのないビルドでは、完全な junit5 は必要ありません。junit5-minimal(Ant で構築)で十分です

    maven の変更:

    - アップストリームバージョン 3.9.14 にアップグレード

      * バグ修正

        - plexus-testing の依存関係はテスト範囲で使用する必要があります

    - アップストリームバージョン 3.9.13 にアップグレード
      * バグ修正
        - バグ:SecDispatcher は、レガシー Plexus DI によって管理されます
        - [3.9.x] MavenPluginJavaPrerequisiteChecker:8/1.8 Javaバージョンも範囲内で処理します

      * メンテナンス

        - default-bindings.xml の Maven プラグインバージョンを更新します
        - JUnit 5 への移行 - TestCase の使用を回避

    maven-doxia での変更:

    Upstream バージョン 2.1.0 にアップグレードしてください。

      * 新機能および改善

        - フォーマットマークアップのための改行と出力の改行を区別します
        - filterAttributes のスーパークラス MutableAttributeSet の代わりに SinkEventAttributes を返します
        - オプションで、内部リンクのフラグメントは手つかずのままにしておきます Markdown シンクの取り消し線をサポートします
        - DOXIA-770:必要な場合のみエスケープします
        - DOXIA-760:テーブル両端揃えのセマンティックを明確にし、新しいJUSTIFY_DEFAULTアライメントを導入します
        - DOXIA-756:マクロ実行のカスタマイズを許可
        - DOXIA-759:MarkdownSink のアンカーをサポートします

      * バグ修正

        - MarkdownSink:テーブルセル内の逐語を修正します
        - すべてよりも先にメタデータを必ず出力してください
        - グローバルで利用可能なすべての属性を HTML5 準拠の属性に変換
        - Html5BaseSink:非準拠の HTML5 属性を準拠属性に変換します
        - 依然として XHTML5 にある要素の name 属性をサポートします
        - HTML コンテキスト内でマークダウンを決して放出しません
        - Flexmark で解析した後、JSoup を使用して HTML を XHTML に変換します
        - DOXIA-764:後の先行改行を strip します
        - DOXIA-763:MarkdownSink で逐語的ソースと非ソースを区別します
        - DOXIA-758:MarkdownSink の emitComments フラグを考慮します
        - DOXIA-757:リンク名から先行する # を削除しません
        - DOXIA-753:リストの末尾は空白行で行わない + DOXIA-751:リンクされたインラインコードは正しい順序で発信される必要がある + DOXIA-749:リスト項目内のブロックを正しくインデントおよび区切る + DOXIA-750:HTML ブロック内のインラインを適切に適用 + DOXIA-747:マークダウンの行頭で見出しを発信

      * ドキュメントの更新

        + サイト:APT を Markdown に変換します + サポートされている拡張の文書を改善します + (DOC)JavaDocs の欠落している参照を修正します

      * メンテナンス

        + クリーンアップテスト + JUnit Jupiter のベストプラクティス + commons-lang3 および commons-text の依存関係を削除 + feat:ブランチ保護ルールの防止を有効化 + pom のクリーンアップ、冗長な依存関係を削除 + plexus-utils のほとんど全ての使用法をドロップ + 使用されない旧式の clirr-maven-plugin を削除 + github の問題を有効にします + DOXIA-772:Sink.sectionTitle() および sectionTitle_() を廃止します + DOXIA-754:ネスト化リストの場合のメソッド順序を明確にします

    mojo-parent の変更:

    - 親の junit-bom をインポートしません。これにより、junit5 で不要なビルドサイクルが発生します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Unity Linux 20 host has a package installed that is affected by a vulnerability as referenced in the UTSA-2025-988625 advisory.

    SCRAM (Salted Challenge Response Authentication Mechanism) is part of the family of Simple Authentication     and Security Layer (SASL, RFC 4422) authentication mechanisms. Prior to version 3.2, a timing attack     vulnerability exists in the SCRAM Java implementation. The issue arises because Arrays.equals was used to     compare secret values such as client proofs and server signatures. Since Arrays.equals performs a short-     circuit comparison, the execution time varies depending on how many leading bytes match. This behavior     could allow an attacker to perform a timing side-channel attack and potentially infer sensitive     authentication material. All users relying on SCRAM authentication are impacted. This vulnerability has     been patched in version 3.1 by replacing Arrays.equals with MessageDigest.isEqual, which ensures constant-     time comparison.

Tenable has extracted the preceding description block directly from the Unity Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2025:4054-1 advisory.

    - CVE-2025-59432: Fixed timing attack vulnerability in SCRAM Authentication (bsc#1250399)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - SCRAM (Salted Challenge Response Authentication Mechanism) is part of the family of Simple Authentication     and Security Layer (SASL, RFC 4422) authentication mechanisms. Prior to version 3.2, a timing attack     vulnerability exists in the SCRAM Java implementation. The issue arises because Arrays.equals was used to     compare secret values such as client proofs and server signatures. Since Arrays.equals performs a short-     circuit comparison, the execution time varies depending on how many leading bytes match. This behavior     could allow an attacker to perform a timing side-channel attack and potentially infer sensitive     authentication material. All users relying on SCRAM authentication are impacted. This vulnerability has     been patched in version 3.1 by replacing Arrays.equals with MessageDigest.isEqual, which ensures constant-     time comparison. (CVE-2025-59432)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2025-20059-1 advisory.

    - CVE-2025-59432: Fixed timing attack vulnerability in SCRAM Authentication (bsc#1250399)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:21608-1 advisory.

    Changes in ongres-scram:

    - Version 3.2
      * Fix Timing Attack Vulnerability in SCRAM Authentication         (bsc#1250399, CVE-2025-59432)
      * Updated dependencies and maven plugins
      * Use central-publishing-maven-plugin to deploy to Maven Central.

    - Do not create multirelease jar if the only Java 9+ class file is       module-info.class

    Changes in ongres-stringprep:

    - Do not create multirelease jar if the only Java 9+ class file is       module-info.class

    Changes in plexus-testing:

    - The build without tests does not need the full junit5; the       junit5-minimal (built with ant) is enough

    Changes in maven:

    - Upgrade to upstream version 3.9.14

      * Bug Fixes

        - plexus-testing dependencies should be used in test scope

    - Upgrade to upstream version 3.9.13
      * Bug Fixes
        - Bug: SecDispatcher is managed by legacy Plexus DI
        - [3.9.x] MavenPluginJavaPrerequisiteChecker: Handle 8/1.8           Java version in ranges as well

      * Maintenance

        - Update Maven plugin versions in default-bindings.xml
        - Migrate to JUnit 5 - avoid using TestCase

    Changes in maven-doxia:

    Upgrade to upstream version 2.1.0:

      * New features and improvements

        - Distinguish between linebreaks for formatting markup and           linebreaks in output
        - Return SinkEventAttributes instead of super class           MutableAttributeSet for filterAttributes
        - Optionally leave fragments of internal links untouched         Support strikethrough for Markdown sink
        - DOXIA-770: Only escape when necessary
        - DOXIA-760: Clarify table justification semantics and introduce           new JUSTIFY_DEFAULT alignment
        - DOXIA-756: Allow to customize macro execution
        - DOXIA-759: Support anchors in MarkdownSink

      * Bug Fixes

        - MarkdownSink: Fix verbatim inside table cell
        - Make sure to emit metadata prior everything else
        - Convert all globally available attributes to HTML5 compliant           ones
        - Html5BaseSink: Convert non-compliant HTML5 attributes to           compliant ones
        - Support name attribute in a element still in XHTML5
        - Never emit Markdown inside HTML context
        - Use JSoup to convert HTML to XHTML after parsing with Flexmark
        - DOXIA-764: Strip leading newline after
        - DOXIA-763: Distinguish between verbatim source and non-source           in MarkdownSink
        - DOXIA-758: Consider emitComments flag in MarkdownSink
        - DOXIA-757: Don't strip leading # from link names
        - DOXIA-753: Do not end lists with a blank line         + DOXIA-751: Linked inline code must be emitted in right order         + DOXIA-749: Correctly indent and separate blocks inside list           items         + DOXIA-750: Properly apply inlines inside HTML blocks         + DOXIA-747: Emit headings at beginning of line for Markdown

      * Documentation updates

        + Site: Convert APT to Markdown         + Improve documentation of supported extensions         + (doc) Fix missing references in JavaDocs

      * Maintenance

        + Cleanup tests         + JUnit Jupiter best practices         + Remove commons-lang3 and commons-text dependencies         + feat: enable prevent branch protection rules         + Cleanup pom, remove redundant dependencies         + Drop almost all usages of plexus-utils         + Remove not used and outdated clirr-maven-plugin         + Enable Github Issues         + DOXIA-772: Deprecate Sink.sectionTitle() and sectionTitle_()         + DOXIA-754: Clarify method order for nested lists

    Changes in mojo-parent:

    - Do not import junit-bom in the parent. This creates unnecessary       build cycles with junit5.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
435334	SCA: security update for com.ongres.scram:scram-common (GHSA-3wfh-36rx-9537)	Tenable Cloud Security	SCA Checks	2025/9/17	2026/7/2	high
435334	SCA: security update for com.ongres.scram:scram-common (GHSA-3wfh-36rx-9537)	Tenable Self-Hosted Container Security	SCA Checks	2025/9/17	2026/7/2	high
266049	Linux Distros 未修補的弱點：CVE-2025-59432	Nessus	Misc.	2025/9/29	2026/1/30	high
266049	Linux Distros 未修补的漏洞：CVE-2025-59432	Nessus	Misc.	2025/9/29	2026/1/30	high
275281	SUSE SLES15 / openSUSE 15 セキュリティ更新ongres-scramSUSE-SU-2025:4054-1]	Nessus	SuSE Local Security Checks	2025/11/13	2026/6/26	high
266049	Linux Distros のパッチ未適用の脆弱性: CVE-2025-59432	Nessus	Misc.	2025/9/29	2026/1/30	high
276598	openSUSE 16 セキュリティ更新ongres-scramopenSUSE-SU-2025-20059-1]	Nessus	SuSE Local Security Checks	2025/11/24	2025/11/24	high
315068	SUSE SLES16 セキュリティ更新:ongres-scram、ongres-stringprep、plexus-testing、maven、maven-doxia、mojo-parent、sisu(SUSE-SU-2026:21608-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	high
272111	Unity Linux 20.1070e Security Update: ongres-scram (UTSA-2025-988625)	Nessus	Unity Linux Local Security Checks	2025/10/31	2025/10/31	high
275281	SUSE SLES15: ongres-scram / ongres-scram-client / ongres-scram-javadoc / etc (SUSE-SU-2025:4054-1)	Nessus	SuSE Local Security Checks	2025/11/13	2026/6/26	high
266049	Linux Distros Unpatched Vulnerability : CVE-2025-59432	Nessus	Misc.	2025/9/29	2026/1/30	high
276598	openSUSE 16 Security Update : ongres-scram (openSUSE-SU-2025-20059-1)	Nessus	SuSE Local Security Checks	2025/11/24	2025/11/24	high
315068	SUSE SLES16 Security Update : ongres-scram, ongres-stringprep, plexus-testing, maven, maven-doxia, mojo-parent, sisu (SUSE-SU-2026:21608-1)	Nessus	SuSE Local Security Checks	2026/5/16	2026/5/16	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high