There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Incus is a system container and virtual machine manager. Prior to version 6.23.0, the web server spawned
    by `incus webui` incorrectly validates the authentication token such that an invalid value will be
    accepted. `incus webui` runs a local web server on a random localhost port. For authentication, it
    provides the user with a URL containing an authentication token. When accessed with that token, Incus
    creates a cookie persisting that token without needing to include it in subsequent HTTP requests. While
    the Incus client correctly validates the value of the cookie, it does not correctly validate the token
    when passed int the URL. This allows for an attacker able to locate and talk to the temporary web server
    on localhost to have as much access to Incus as the user who ran `incus webui`. This can lead to privilege
    escalation by another local user or an access to the user's Incus instances and possibly system resources
    by a remote attack able to trick the local user into interacting with the Incus UI web server. Version
    6.23.0 patches the issue. (CVE-2026-33898)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Incus 是一個系統容器與虛擬機器管理員。在 6.23.0版之前由「incus webui」衍生的 Web 伺服器未正確驗證驗證 token因此將接受無效的值。 `incus webui` 在隨機 localhost 連接埠上執行本機 Web 伺服器。針對驗證而言它會為使用者提供一個包含驗證權杖的 URL。使用該權杖存取時Incus 會建立一個 cookie 來保留該權杖而不需要將其包含在後續的 HTTP 要求中。雖然 Incus 用戶端可正確驗證 cookie 的值但在傳遞 URL 時並未正確驗證 token。這允許攻擊者在 localhost 上找到暫時 Web 伺服器並與其交談進而擁有與執行 `incus webui` 之使用者一樣多的 Incus 存取權。這可導致其他本機使用者提升權限或導致存取該使用者的 Incus 執行個體的遠端攻擊可能誘騙本機使用者與 Incus UI Web 伺服器互動而造成系統資源。版本 6.23.0 針對此問題提供了修補程式。(CVE-2026-33898)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Incus 是系统容器和虚拟机管理器。在低于 的版本 6.23.0中“incus webui”生成的 Web 服务器未正确验证认证标记从而导致接受无效值。 “incus webui”在随机本地主机端口上运行本地 Web 服务器。对于身份验证，它为用户提供包含身份验证标记的 URL。当使用该标记访问时Incus 会创建一个保留该标记的 Cookie且无需将其包含在后续 HTTP 请求中。虽然 Incus 客户端会正确验证 cookie 的值但在通过 URL 传递标记时它没有正确验证标记。这允许能够在本地主机上定位临时 Web 服务器并与之通信的攻击者从而拥有与运行“incus webui”的用户同样多的 Incus 访问权限。这可导致另一个本地用户的权限升级或通过能够诱骗本地用户与 Incus UI Web 服务器交互的远程攻击访问用户的 Incus 实例和可能的系统资源。版本 6.23.0 针对此问题提供了补丁。(CVE-2026-33898)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 42 ホストには、FEDORA-2026-4481307278 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    incus-agent から incus の依存関係を削除します。

    ----

    への更新 [6.23https://github.com/lxc/incus/releases/tag/v6.23.0



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Incus は、システムコンテナおよび仮想マシンマネージャーです。バージョン 6.23.0より前では、「incus webui」により作成された Web サーバーは、認証トークンを不適切に検証し、無効な値を受け入れます。 「incus webui」は、ランダムな localhost ポートでローカル Web サーバーを実行します。認証の場合、ユーザーに認証トークンを含む URL を提供します。そのトークンでアクセスされると、Incus は後続の HTTP リクエストに含める必要なく、そのトークンを永続するクッキーを作成します。Incus クライアントはクッキーの値を適切に検証しますが、URL に渡される際にトークンを適切に検証しません。これにより、ローカルホスト上の一時 Web サーバーを見つけて会話できる攻撃者が、「incus webui」を実行したユーザーと同等に Incus にアクセスできます。これは、別のローカルユーザーによる権限昇格、またはユーザーの Incus インスタンスおよびリモート攻撃者がシステムリソースへのアクセスにつながり、ローカルユーザーを騙して Incus UI Web サーバーと操作させる可能性があります。バージョン 6.23.0 はこの問題を修正します。(CVE-2026-33898)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-4481307278 advisory.

    Remove incus dependency from incus-agent.

    ----

    Update to [6.23](https://github.com/lxc/incus/releases/tag/v6.23.0)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Incus is a system container and virtual machine manager. Prior to version 6.23.0, the web server spawned     by `incus webui` incorrectly validates the authentication token such that an invalid value will be     accepted. `incus webui` runs a local web server on a random localhost port. For authentication, it     provides the user with a URL containing an authentication token. When accessed with that token, Incus     creates a cookie persisting that token without needing to include it in subsequent HTTP requests. While     the Incus client correctly validates the value of the cookie, it does not correctly validate the token     when passed int the URL. This allows for an attacker able to locate and talk to the temporary web server     on localhost to have as much access to Incus as the user who ran `incus webui`. This can lead to privilege     escalation by another local user or an access to the user's Incus instances and possibly system resources     by a remote attack able to trick the local user into interacting with the Incus UI web server. Version     6.23.0 patches the issue. (CVE-2026-33898)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439367	SCA: security update for github.com/lxc/incus/v6/cmd/incus (GHSA-453r-g2pg-cxxq)	Tenable Cloud Security	SCA Checks	2026/3/27	2026/7/2	high
439367	SCA: security update for github.com/lxc/incus/v6/cmd/incus (GHSA-453r-g2pg-cxxq)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/27	2026/7/2	high
303937	Linux Distros 未修補的弱點：CVE-2026-33898	Nessus	Misc.	2026/3/27	2026/7/31	high
303937	Linux Distros 未修补的漏洞：CVE-2026-33898	Nessus	Misc.	2026/3/27	2026/7/31	high
307510	Fedora 42incus2026-4481307278	Nessus	Fedora Local Security Checks	2026/4/19	2026/4/19	high
303937	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33898	Nessus	Misc.	2026/3/27	2026/7/31	high
307510	Fedora 42 : incus (2026-4481307278)	Nessus	Fedora Local Security Checks	2026/4/19	2026/4/19	high
303937	Linux Distros Unpatched Vulnerability : CVE-2026-33898	Nessus	Misc.	2026/3/27	2026/7/31	high

检测

插件搜索

high

high

high

high

high

high

high

high