There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and
    4.1.133.Final, Netty's chunk size parser silently overflows int, enabling request smuggling attacks. This
    vulnerability is fixed in 4.2.13.Final and 4.1.133.Final. (CVE-2026-42580)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Netty 是一個非同步、事件驅動的網路應用程式架構。在 4.2.13.Final 和 4.1.133.Final 之前，Netty 的區塊大小剖析器會以靜默方式溢位 int，從而啟用請求走私攻擊。此弱點已在 4.2.13.Final 和 4.1.133.Final 中修正。（CVE-2026-42580）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 IBM Cognos Analytics 版本在 12.0.4 FP3 之前 12.0.4 ，或 12.1.x 在 FP2 之前 12.1.3 。因此，它會受到 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和更早版本由於 StanfordSegmenter 模組中的輸入驗證不當而容易受到任意程式碼執行的影響。此模組會動態載入外部Java.jar檔案，而無需驗證或沙箱。攻擊者可以提供或取代 JAR 檔案，從而在匯入時執行任意 Java 位元組碼。（CVE-2026-0848）

  - lodash 修正，用於 CVE-2021-23337 新增 _.template 中變數選項的驗證，但未對 options.imports 索引鍵名稱套用相同的驗證。這兩個路徑都將匯入相同的 Function() 建構函式接收器。當應用程式將未受信任的輸入作為 options.imports 金鑰名稱傳遞時，攻擊者可插入用於在範本編譯時執行任意程式碼的預設參數運算式。
    (CVE-2026-4800)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    從 45.0.0 到 以前 46.0.7，如果將不連續的緩衝區傳遞給接受 Python 緩衝區的 API（例如 Hash.update（）），這可能會導致緩衝區溢位。（CVE-2026-39892）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是一个异步、事件驱动的网络应用程序框架。在低于 4.2.13.Final 和 4.1.133.Final 的版本中，Netty 的区块大小解析器静默地溢出 int，从而允许请求走私攻击。此漏洞已在 4.2.13.Final 和 4.1.133.Final 中修复。（CVE-2026-42580）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 IBM Cognos Analytics 版本低于 12.0.412.0.4 FP3 或12.1.x12.1.3低于 FP2。因此，如 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和之前版本容易遭受任意代码执行的攻击，原因是 StanfordSegmenter 模块中错误的输入验证。该模块动态加载外部 Java .jar文件，无需验证或沙盒化。攻击者可提供或替换 JAR 文件，从而在导入时执行任意 Java 字节码。（CVE-2026-0848）

  - lodash CVE-2021-23337 补丁添加了对 _.template 中变量选项的验证，但未对 options.imports 密钥名应用相同的验证。两个路径都流入同一个 Function() 构造函数接收器。应用程序传递不受信任的输入作为 options.imports 密钥名称时，攻击者可注入默认参数表达式，在模板编译时执行任意代码。
    (CVE-2026-4800)

  - cryptography 程序包旨在为 Python 开发人员提供加密基元和方法。
    从 45.0.0 之前到 46.0.7之前，如果将非连续缓冲区传递到接受 Python 缓冲区的 API（例如 Hash.update（）），这可导致缓冲区溢出。（CVE-2026-39892）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2308-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty、netty-tcnative 用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-41417: 検証の欠如により、DefaultHttpRequest.setUri() におけるスタートライン挿入を介した HTTP リクエストスマグリングおよび RTSP リクエストインジェクションが発生する (bsc#1264350)。
    - CVE-2026-42578: HttpProxyHandler 経由の HTTP ヘッダー注入により、netty での検証が無効になる (bsc#1265243)。
    - CVE-2026-42579: DNS コーデックが、エンコーディング中またはデコーディング中にも RFC 1035 ドメイン名の制約を強制しない (bsc#1265272)。
    - CVE-2026-42580: チャンクサイズパーサーが int の整数オーバーフローをサイレントに発生させ、リクエストスマグリング攻撃を可能にする (bsc#1265273)。
    - CVE-2026-42581: HTTP/1.0 リクエストでの TE+CL ヘッダーの共存により、スマグリングサニタイズがバイパスされる (bsc#1265277)。
    - CVE-2026-42583:「Lz4FrameDecoder」を介したリソース枯渇とサービス拒否の可能性 (bsc#1265279)。
    - CVE-2026-42584:「HttpClientCodec」での受信応答の不適切な処理が、応答の非同期化を引き起こす可能性 (bsc#1265280)。
    - CVE-2026-42585: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265292)。
    - CVE-2026-42586:Netty Redis コーデックエンコーダーにおける CRLF インジェクション (bsc#1265245)。
    - CVE-2026-42587: Content-Encoding: br/zstd/snappy を介した HttpContentDecompressor の maxAllocation バイパスにより、解凍爆弾による DoS が可能になる (bsc#1265246)。
    - CVE-2026-44248: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265294)。
    - CVE-2026-42582: HTTP/3 QPACK リテラル無制限割り当て (bsc#1265318)。

    netty の変更: 

    - アップストリームバージョン 4.1.133 にアップグレード

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Nettyは、非同期のイベント駆動型ネットワークアプリケーションフレームワークです。4.2.13.Final および 4.1.133.Final より前では、Netty のチャンクサイズパーサーはサイレントにオーバーフローし、リクエストスマグリング攻撃を可能にします。この脆弱性は 4.2.13.Final および 4.1.133.Final で修正されています。(CVE-2026-42580)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、12.0.4 FP3 より前の 12.0.4、または 12.1.3 FP2 より前の 12.1.x です。したがって、IBMセキュリティ報告書No.に記載されている複数の脆弱性の影響を受けます。
7287209:

  - 3.9.2 以前の NLTK バージョンは、StanfordSegmenter モジュールの入力検証が不適切なために、任意のコードの実行に脆弱です。このモジュールは、検証やサンドボックスを行わずに、外部Java.jarファイルを動的にロードします。攻撃者は、JAR ファイルを供給または置換することで、インポート時に任意の Java バイトコードを実行できるようになります。(CVE-2026-0848)

  - CVE-2021-23337 に対する lodash の修正は、_.template の変数 option に対する検証を追加しましたが、options.imports キー名に同じ検証は適用しませんでした。両方のパスは同じ Function() コンストラクターシンクにフローします。アプリケーションが信頼できない入力を options.imports のキー名として渡す場合、攻撃者はテンプレートのコンパイル時に任意コードを実行するデフォルトパラメーター式を注入する可能性があります。
    (CVE-2026-4800)

  - cryptography は、Python 開発者向けに暗号のプリミティブとレシピを公開するために設計されたパッケージです。
    45.0.0から46.0.7以前まで、Pythonバッファ(Hash.update()など)を受け入れるAPIに非連続バッファが渡されると、これがバッファオーバーフローを引き起こす可能性があります。(CVE-2026-39892)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2308-1 advisory.

    This update for netty, netty-tcnative fixes the following issues

    - CVE-2026-41417: missing validations leads to HTTP request smuggling and RTSP request injection via     start-line       injection in `DefaultHttpRequest.setUri()` (bsc#1264350).
    - CVE-2026-42578: HTTP Header Injection via HttpProxyHandler Disabled Validation in Netty (bsc#1265243).
    - CVE-2026-42579: DNS codec does not enforce RFC 1035 domain name constraints during either encoding or     decoding       (bsc#1265272).
    - CVE-2026-42580: chunk size parser silently overflows int and enables request smuggling attacks     (bsc#1265273).
    - CVE-2026-42581: TE+CL header coexistence in HTTP/1.0 requests bypasses smuggling sanitization     (bsc#1265277).
    - CVE-2026-42583: resource exhaustion and possible denial of service via `Lz4FrameDecoder` (bsc#1265279).
    - CVE-2026-42584: improper handling of inbound responses in `HttpClientCodec` can lead to response     desynchronization       (bsc#1265280).
    - CVE-2026-42585: Netty is an asynchronous, event-driven network application framework (bsc#1265292).
    - CVE-2026-42586: CRLF Injection in Netty Redis Codec Encoder (bsc#1265245).
    - CVE-2026-42587: HttpContentDecompressor maxAllocation bypass via Content-Encoding: br/zstd/snappy     enables       decompression bomb DoS (bsc#1265246).
    - CVE-2026-44248: Netty is an asynchronous, event-driven network application framework (bsc#1265294).
    - CVE-2026-42582: HTTP/3 QPACK literal unbounded allocation (bsc#1265318).

    Changes for netty:

    - Upgrade to upstream version 4.1.133

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and     4.1.133.Final, Netty's chunk size parser silently overflows int, enabling request smuggling attacks. This     vulnerability is fixed in 4.2.13.Final and 4.1.133.Final. (CVE-2026-42580)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of IBM Cognos Analytics installed on the remote host is 12.0.4 prior to 12.0.4 FP3, or 12.1.x prior to 12.1.3 FP2. It is, therefore, affected by multiple vulnerabilities as referenced in the IBM Security Bulletin No.
7287209:

  - NLTK versions 3.9.2 and prior are vulnerable to arbitrary code execution due to improper input     validation in the StanfordSegmenter module. The module dynamically loads external Java .jar files     without verification or sandboxing. An attacker can supply or replace the JAR file, enabling the     execution of arbitrary Java bytecode at import time. (CVE-2026-0848)

  - The lodash fix for CVE-2021-23337 added validation for the variable option in _.template but did not     apply the same validation to options.imports key names. Both paths flow into the same Function()     constructor sink. When an application passes untrusted input as options.imports key names, an attacker     can inject default-parameter expressions that execute arbitrary code at template compilation time.
    (CVE-2026-4800)

  - cryptography is a package designed to expose cryptographic primitives and recipes to Python developers.
    From 45.0.0 to before 46.0.7, if a non-contiguous buffer was passed to APIs which accepted Python     buffers (e.g. Hash.update()), this could lead to buffer overflows. (CVE-2026-39892)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
441345	SCA: security update for io.netty:netty-codec-http (GHSA-m4cv-j2px-7723)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/7	2026/7/2	medium
441345	SCA: security update for io.netty:netty-codec-http (GHSA-m4cv-j2px-7723)	Tenable Cloud Security	SCA Checks	2026/5/7	2026/7/2	medium
314778	Linux Distros 未修補的弱點：CVE-2026-42580	Nessus	Misc.	2026/5/14	2026/9/2	medium
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多個弱點（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/21	high
314778	Linux Distros 未修补的漏洞：CVE-2026-42580	Nessus	Misc.	2026/5/14	2026/9/2	medium
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多种漏洞（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/21	high
321020	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium
314778	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42580	Nessus	Misc.	2026/5/14	2026/9/2	medium
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 の複数の脆弱性 (7287209)	Nessus	CGI abuses	2026/9/18	2026/9/21	high
321020	SUSE SLED15 / SLES15 Security Update : netty, netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium
314778	Linux Distros Unpatched Vulnerability : CVE-2026-42580	Nessus	Misc.	2026/5/14	2026/9/2	medium
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 Multiple Vulnerabilities (7287209)	Nessus	CGI abuses	2026/9/18	2026/9/21	high

检测

插件搜索

medium

medium

medium

high

medium

high

medium

medium

high

medium

medium

high