There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Observable Timing Discrepancy vulnerability in Apache Shiro. This issue affects Apache Shiro: from 1.*,
    2.* before 2.0.7. Users are recommended to upgrade to version 2.0.7 or later, which fixes the issue. Prior
    to Shiro 2.0.7, code paths for non-existent vs. existing users are different enough, that a brute-force
    attack may be able to tell, by timing the requests only, determine if the request failed because of a non-
    existent user vs. wrong password. The most likely attack vector is a local attack only. Shiro security
    model https://shiro.apache.org/security-model.html#username_enumeration discusses this as well. Typically,
    brute force attack can be mitigated at the infrastructure level. (CVE-2026-23901)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Apache Shiro 中可觀察的計時差異弱點。此問題影響 Apache Shiro：從 1.* 開始，之前的 2.0.72.* 開始。建議使用者升級至 2.0.7 版本或更新版本，以修正此問題。在 Shiro 2.0.7之前，不存在的使用者與現有使用者的程式碼路徑已經足夠不同，暴力密碼破解攻擊可能能夠僅透過計時請求來判斷請求是否因為不存在的使用者與錯誤的密碼而失敗。最有可能的攻擊媒介僅是本機攻擊。Shiro 安全模型 https://shiro.apache.org/security-model.html#username_enumeration 也討論了這一點。一般而言，暴力密碼破解攻擊可以在基礎架構層級緩解。（CVE-2026-23901）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Shiro 中可观察到的时间差异漏洞。此问题影响 Apache Shiro：来自 1.*、低于 的 2.*2.0.7 建议用户升级到可修复此问题的版本或更高版本 2.0.7 。在 Shiro 2.0.7之前，不存在用户与现有用户的代码路径差异很大，暴力破解攻击可能能够通过仅定时请求来判断请求是否因不存在的用户与错误的密码而失败。最可能的攻击载体仅为本地攻击。Shiro 安全模型 https://shiro.apache.org/security-model.html#username_enumeration 也对此进行了讨论。通常，暴力破解攻击可以在基础设施级别缓解。（CVE-2026-23901）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Shiro の観察可能なタイミング不一致の脆弱性。この問題は、Apache Shiro に影響を与えます:1.*、2.* より前の 2.0.7。ユーザーは、この問題を修正するバージョン 2.0.7 以降にアップグレードすることをお勧めします。Shiro 2.0.7より前では、存在しないユーザーと既存のユーザーのコードパスは十分に異なるため、ブルートフォース攻撃はリクエストのタイミングを計ることだけで、存在しないユーザーと間違ったパスワードが原因でリクエストが失敗したかどうかを判断できる可能性があります。最も可能性の高い攻撃ベクトルはローカル攻撃のみです。Shiro セキュリティモデル https://shiro.apache.org/security-model.html#username_enumeration でもこれについて論じています。一般的に、総当たり攻撃はインフラレベルで緩和できます。(CVE-2026-23901)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Observable Timing Discrepancy vulnerability in Apache Shiro. This issue affects Apache Shiro: from 1.*,     2.* before 2.0.7. Users are recommended to upgrade to version 2.0.7 or later, which fixes the issue. Prior     to Shiro 2.0.7, code paths for non-existent vs. existing users are different enough, that a brute-force     attack may be able to tell, by timing the requests only, determine if the request failed because of a non-     existent user vs. wrong password. The most likely attack vector is a local attack only. Shiro security     model https://shiro.apache.org/security-model.html#username_enumeration discusses this as well. Typically,     brute force attack can be mitigated at the infrastructure level. (CVE-2026-23901)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
437682	SCA: security update for org.apache.shiro:shiro-core (GHSA-c4qc-4q9p-m9q9)	Tenable Cloud Security	SCA Checks	2026/2/10	2026/7/2	low
437682	SCA: security update for org.apache.shiro:shiro-core (GHSA-c4qc-4q9p-m9q9)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/10	2026/7/2	low
298459	Linux Distros 未修補的弱點：CVE-2026-23901	Nessus	Misc.	2026/2/10	2026/7/6	low
298459	Linux Distros 未修补的漏洞：CVE-2026-23901	Nessus	Misc.	2026/2/10	2026/7/6	low
298459	Linux Distros のパッチ未適用の脆弱性: CVE-2026-23901	Nessus	Misc.	2026/2/10	2026/7/6	low
298459	Linux Distros Unpatched Vulnerability : CVE-2026-23901	Nessus	Misc.	2026/2/10	2026/7/6	low

检测

插件搜索

low

low

low

low

low

low