Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hexpm hex（Hex.RemoteConverger 模块）中存在数据真实性验证不充分漏洞，允许通过未经验证的锁定文件校验和，绕过依存关系完整性。Hex 将依存关系的校验和存储在 mix.lock 文件中，以确保构建可重现且经过完整性检查。但是，Hex.RemoteConverger.verify_resolved/2 从不执行校验和验证，因为 Hex.Utils.lock/1 返回的锁定数据使用基于字符串的依赖项名称，而验证逻辑会与基于 atom 的名称进行比较。此类型不匹配会导致系统静默跳过验证码路径。最初从注册表下载程序包时仍会对校验和进行验证，但不会检测到锁定文件与已解析的依存关系之间的不匹配。能够影响缓存程序包（例如通过本地缓存中毒或被破坏的注册表）的攻击者可提供修改过的依赖关系内容，这些内容将被接受而不被检测。mix.lock 文件会使用注册表中的校验和值静默重写，从而擦除篡改的证据。此问题影响之前2.4.2的 0.16.0 hex：
    (CVE-2026-32148)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - hexpm hex （Hex.RemoteConverger 模組） 中的資料真實性驗證不足弱點允許透過未經驗證的鎖定檔總和檢查碼繞過相依性完整性。Hex 將相依性的總和檢查碼儲存在 mix.lock 檔案中，以確保建置可重現且經過完整性檢查。但是，Hex.RemoteConverger.verify_resolved/2 從不執行總和檢查碼驗證，因為 Hex.Utils.lock/1 傳回的鎖定資料使用字串型相依性名稱，而驗證邏輯會與 atom 型名稱進行比較。此類型不相符會導致以無訊息方式跳過驗證碼路徑。最初從登錄檔下載套件時，仍會驗證總和檢查碼，但不會偵測到鎖定檔與已解析相依性之間的不相符。攻擊者若能影響快取的套件 （例如，透過本機快取中毒或遭入侵的登錄檔） 提供修改後的相依性內容，這些內容將在不被偵測的情況下被接受。mix.lock 檔案會使用登錄檔中的總和檢查碼值以無訊息方式重寫，從而清除竄改的證據。此問題影響 hex： from 0.16.0 before 2.4.2。
    (CVE-2026-32148)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - hexpm hex(Hex.RemoteConverger モジュール)のデータ信頼性の不十分な検証の脆弱性により、未検証のロックファイルチェックサムを介して、依存性整合性をバイパスできます。Hex は、再現可能で整合性がチェックされたビルドを保証するために、依存関係のチェックサムを mix.lock ファイルに保存します。ただし、検証ロジックが atom ベースの名前と比較されるのに対して、Hex.Utils.lock/1 によって返されたロックデータが文字列ベースの依存関係名を使用しているため、Hex.RemoteConverger.verify_resolved/2 はチェックサム検証を実行しません。この型の不一致により、検証コードのパスが密かにスキップされます。パッケージがレジストリから最初にダウンロードされるとき、チェックサムは引き続き検証されますが、ロックファイルと解決された依存関係の間の不一致は検出されません。キャッシュされたパッケージに影響を与えることができる攻撃者が(ローカルキャッシュポイズニングやレジストリを侵害するなど)、検出されずに受け入れられる変更された依存関係のコンテンツを提供する可能性があります。mix.lock ファイルは、レジストリからのチェックサム値で警告なしで書き換えられ、改ざんの証拠が消去されます。この問題は、2.4.2 より前の 0.16.0 の hex: に影響を与えます。
    (CVE-2026-32148)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Insufficient Verification of Data Authenticity vulnerability in hexpm hex (Hex.RemoteConverger module)     allows dependency integrity bypass via unverified lockfile checksums. Hex stores checksums for     dependencies in the mix.lock file to ensure reproducible and integrity-checked builds. However,     Hex.RemoteConverger.verify_resolved/2 never executes checksum verification because the lock data returned     by Hex.Utils.lock/1 uses string-based dependency names, while the verification logic compares against     atom-based names. This type mismatch causes the verification code path to be silently skipped. Checksums     are still validated when packages are initially downloaded from the registry, but mismatches between the     lockfile and resolved dependencies are not detected. An attacker who can influence cached packages (e.g.,     via local cache poisoning or a compromised registry) can provide modified dependency contents that will be     accepted without detection. The mix.lock file is silently rewritten with the checksum values from the     registry, erasing evidence of tampering. This issue affects hex: from 0.16.0 before 2.4.2.
    (CVE-2026-32148)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
359503	Linux Distros 未修补的漏洞：CVE-2026-32148	Nessus	Misc.	2026/10/1	2026/10/6	high
359503	Linux Distros 未修補弱點：CVE-2026-32148	Nessus	Misc.	2026/10/1	2026/10/6	high
359503	Linux Distros のパッチ未適用の脆弱性: CVE-2026-32148	Nessus	Misc.	2026/10/1	2026/10/6	high
359503	Linux Distros Unpatched Vulnerability : CVE-2026-32148	Nessus	Misc.	2026/10/1	2026/10/6	high

检测

插件搜索

high

high

high

high