远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4590 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4590-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas Kanashiro 2026 年 5 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：erlang 版本： 1:23.2.6+dfsg-1+deb11u4 CVE ID： CVE-2026-21620 CVE-2026-23941 CVE-2026-23942 CVE-2026-23943 Debian 缺陷：1128651 1130912

    在并发、实时、分布式函数语言 Erlang 中发现多个漏洞。

    CVE-2026-21620

        tftp_file 模块中的路径审查不足。

    CVE-2026-23941

        HTTP 请求的不一致解释（“HTTP 请求走私”）在 Erlang OTP（inets httpd 模块）中的漏洞允许 HTTP 请求走私。

    CVE-2026-23942

        未正确限制路径名称至受限目录（“路径遍历”）在 Erlang OTP（ssh_sftpd 模块）中的漏洞允许路径遍历。

    CVE-2026-23943

        Erlang OTP ssh（ssh_transport模块）中的高度压缩数据处理不当（压缩炸弹）漏洞允许通过资源耗尽造成拒绝服务。

    针对 Debian 11 bullseye，这些问题已在版本 .2.6+dfsg-1+deb11u4 中 1:23修复。

    建议您升级 erlang 程序包。

    有关 erlang 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Erlang OTP ssh（ssh_transport 模块）中的高度压缩数据处理不当（压缩炸弹）漏洞允许通过资源耗尽造成拒绝服务。SSH 传输层默认会公布旧版 zlib 压缩，并在无任何大小限制的情况下，夸大攻击者控制的负载预先认证，从而实现可靠的内存耗尽 DoS。两种压缩算法受到影响：
    * zlib：密钥交换后立即激活，从而启用未经身份验证的攻击 * zlib@openssh.com：
    激活后身份验证，启用经身份验证的攻击 每个 SSH 数据包可从 256 KB 的有线数据1029:1 中解压缩 ~255 MB（放大比）。多个数据包会迅速耗尽可用内存，进而在内存受限的环境中造成 OOM 终止。此漏洞与程序文件 lib/ssh/src/ssh_transport.erl 和程序例程 ssh_transport：decompress/2、ssh_transport：handle_packet_part/4 相关联。此问题会影响来自 OTP 17.0 的 OTP，而不是 OTP 28.4.1、 OTP 27.3.4.9 和 OTP26.2.5.18，对应于之前 5.5.1和 5.2.11.65.1.4.14中的 ssh3.0.1。（CVE-2026-23943）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此，根据通 TNS-2026-11告，它受到多重漏洞的影响：

  - Node.js权限模型中的一个缺陷允许攻击者通过精心设计的相对符号链接路径绕过“--allow-fs-read''和'--allow-fs-write''限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。此问题破坏了既定的隔离防护机制，使攻击者能够执行任意文件读取/写入操作，从而造成潜在的系统失陷风险。
    该漏洞影响了 v20、v22、v24 和 v25 权限模型的用户Node.js。（CVE-2025-55130）

  - SQL Server 中不当的访问控制允许授权攻击者通过网络提升权限。
    (CVE-2026-21262)

  - SQL Server 中对特定类型输入的不当验证使授权攻击者能够在网络上提升权限。（CVE-2026-26115）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此根据公告受到多个漏洞的影响 TNS-2026-11

  - Node.js 的权限模型存在缺陷，使攻击者能够利用恶意构建的相对符号链接路径绕过 --allow-fs-read 和 --allow-fs-write 限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。这会破坏预期的隔离保证并启用任意文件读取/写入从而可能导致系统受损。 (CVE-2025-55130)

  - 对 SQL Server 中指定的输入类型的不当验证允许经授权的攻击者通过网络提升权限。 (CVE-2026-26115)

  - Curl 中不当的访问控制允许授权的攻击者通过网络提升权限。
    (CVE-2026-21262)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
315240	Debian DLA-4590：erlang - 安全更新	Nessus	Debian Local Security Checks	2026/5/19	2026/5/25	high
302364	Linux Distros 未修补的漏洞：CVE-2026-23943	Nessus	Misc.	2026/3/15	2026/7/25	medium
310403	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/27	2026/4/28	high
307436	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/18	2026/4/20	high

检测

插件搜索

high

medium

high

high