Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - hexpm hex_core 中的不當憑證驗證弱點允許攻擊者攔截 HTTPS 連線，模擬 hex.pm、repo.hex.pm 或任何其他存放庫或 API 伺服器，在 Erlang/OTP 24 上或 OTP 25 上使用 hex_core 的預設 HTTP 配接器 （無法載入作業系統的 CA 憑證時）。hex_core：default_config/0 會選取內建的hex_http_httpc轉接器。對於轉接器組態沒有 ssl 選項的 HTTPS 要求，hex_http_httpc：http_options/2 會建置選項，以根據 public_key：cacerts_get/0 驗證伺服器憑證。當引發該呼叫時，配接器會列印警告並傳送沒有 ssl 選項的要求，因此 httpc 會使用 ssl 應用程式的預設值，在 OTP 26 之前不會驗證伺服器憑證。public_key：cacerts_get/0 在 OTP 24 上不存在，因此每個 HTTPS 請求都會回退到那裡，而在 OTP 25 上，當找不到 CA 儲存區時，它就會引發。hex_core之前 0.11.0 的版本從未設定 SSL 選項，因此無論是否找到 CA 儲存區，它們都不會驗證 OTP 25 和更早版本上的伺服器憑證。後援是有意的並記錄在案，但文件並未明確說明這表示沒有憑證驗證。自 hex_core 年以來 0.8.2 ，README 已警告內建 httpc 轉接器具有不安全的預設設定，並建議使用其他HTTP用戶端，並且轉接器使用預設 ssl 選項進行列印，這些選項在每個回退請求時都是不安全的。 hex_core 0.11.0 新增了帶有變更日誌條目的憑證驗證：對 OTP 25+ 使用安全SSL預設值。README 和警告都沒有說伺服器憑證未經驗證，README 沒有說明警告套用到哪些 OTP 版本，在沒有 CA 憑證的 OTP 25 上，警告會告訴使用者升級到他們已經執行的 OTP 25 或更新版本。發布此公告是為了讓將這些通知作為一般建議的使用者知道其 HTTPS 要求未經驗證。此問題會影響 hex_core： 從之前0.20.0開始0.1.0。（CVE-2026-103502）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hexpm hex_core 中的不当证书验证漏洞允许可拦截 HTTPS 连接的攻击者在无法加载操作系统的 CA 证书时，冒充在 Erlang/OTP 24 或 OTP 25 上使用hex_core默认 HTTP 适配器的程序的 hex.pm、repo.hex.pm 或任何其他存储库或 API 服务器。hex_core：default_config/0 选择内置的 hex_http_httpc 适配器。对于适配器配置没有 ssl 选项的 HTTPS 请求，hex_http_httpc：http_options/2 会构建选项，用于根据 public_key：cacerts_get/0 验证服务器证书。引发该调用时，适配器会打印警告并在没有 ssl 选项的情况下发送请求，因此 httpc 使用 ssl 应用程序的默认值，在 OTP 26 之前不会验证服务器证书。public_key：cacerts_get/0 在 OTP 24 上不存在，因此每个 HTTPS 请求都会回退到该处，而在 OTP 25 上，当找不到 CA 存储时，它会引发。hex_core之前 0.11.0 的版本从不设置 ssl 选项，因此无论是否找到 CA 存储，都不会在 OTP 25 及更早版本上验证服务器证书。该回退是有意进行的，也已记录在案，但文档并未明确说明不意味着不需要证书验证。自hex_core 0.8.2 以来，README 已警告内置 httpc 适配器具有不安全的默认设置和建议的其他 HTTP 客户端，并且适配器使用默认 ssl 选项打印，这些选项在每次回退请求中都是不安全的。 hex_core 0.11.0 添加了证书验证，使用变更日志条目对 OTP 25+ 使用安全的 SSL 默认值。README 和警告均未说明未验证服务器证书，README 未说明警告适用于哪些 OTP 版本，并且在没有 CA 证书的 OTP 25 上，警告告知用户升级到他们已运行的 OTP 25 或更高版本。发布此公告是为了让将这些通知作为一般建议的用户知晓其 HTTPS 请求未经认证。此问题影响之前0.20.0的 0.1.0 hex_core：（CVE-2026-103502）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - hexpm hex_core における不適切な証明書検証の脆弱性により、HTTPS接続を傍受できる攻撃者が、オペレーティングシステムの CA 証明書をロードできない場合、Erlang/OTP 24 または OTP 25 で hex_core のデフォルト HTTP アダプターを使用するプログラムへの hex.pm、repo.hex.pm、その他のリポジトリや API サーバーになりすますことが可能です。hex_core:default_config/0 は、内蔵 hex_http_httpc アダプターを選択します。アダプター構成に ssl オプションがない HTTPS リクエストの場合、hex_http_httpc:http_options/2 は、public_key:cacerts_get/0 に対してサーバー証明書を検証するオプションを構築します。その呼び出しが発生すると、アダプターは警告を印刷し、ssl オプションなしでリクエストを送信します。このため、httpc は SSL アプリケーションのデフォルトを使用します。OTP 26 より前はサーバー証明書を検証しません。public_key:cacerts_get/0 は OTP 24 に存在しないため、HTTPS リクエストはすべてそこにフォールバックし、OTP 25 では CA ストアが見つからない場合に発生します。 0.11.0 より前のバージョンhex_core、SSL オプションを設定しないため、CA ストアが見つかったかどうかにかかわらず、OTP 25 以前のサーバー証明書を検証しません。フォールバックは意図され、文書化されましたが、ドキュメントには、それが証明書の検証が必要ないことを意味することは明確ではありませんでした。hex_core 0.8.2 以来、README は、内蔵 httpc アダプターの安全でないデフォルト設定を持ち、推奨される他の HTTP クライアント、さらに、アダプターがデフォルトの ssl オプションを使用して印刷することを警告しています。これは、フォールバックするすべてのリクエストに対して安全ではありません。 hex_core 0.11.0 変更ログエントリで証明書の検証を追加しました OTP 25+ でセキュアなSSLデフォルトを使用します。README も警告も、サーバー証明書が検証されないことを示さず、README にも警告が適用される OTP バージョンが示されず、CA 証明書のない OTP 25 では、警告がユーザーに、すでに実行している OTP 25 以降にアップグレードするように指示します。このアドバイザリは、これらの通知を一般的なアドバイスとして受け取ったユーザーに HTTPS リクエストが認証されなかったことを知るために公開されています。この問題は、0.20.0より前の0.1.0のhex_core:に影響を与えます。(CVE-2026-103502)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper Certificate Validation vulnerability in hexpm hex_core allows an attacker who can intercept HTTPS     connections to impersonate hex.pm, repo.hex.pm or any other repository or API server to programs that use     hex_core's default HTTP adapter on Erlang/OTP 24, or on OTP 25 when the operating system's CA certificates     can't be loaded. hex_core:default_config/0 selects the built-in hex_http_httpc adapter. For an HTTPS     request whose adapter config has no ssl option, hex_http_httpc:http_options/2 builds options that verify     the server certificate against public_key:cacerts_get/0. When that call raises, the adapter prints a     warning and sends the request without ssl options, so httpc uses the defaults of the ssl application,     which before OTP 26 don't verify the server certificate. public_key:cacerts_get/0 doesn't exist on OTP 24,     so every HTTPS request falls back there, and on OTP 25 it raises when no CA store is found. hex_core     versions before 0.11.0 never set ssl options, so they don't verify the server certificate on OTP 25 and     earlier whether or not a CA store is found. The fallback was intended and documented, but the     documentation didn't make clear that it meant no certificate verification. Since hex_core 0.8.2 the README     has warned that the built-in httpc adapter has insecure default settings and recommended other HTTP     clients, and the adapter prints using default ssl options which are insecure on every request that falls     back. hex_core 0.11.0 added certificate verification with the changelog entry Use secure SSL defaults for     OTP 25+. Neither the README nor the warning says that the server certificate isn't verified, the README     doesn't say which OTP versions the warning applies to, and on OTP 25 without CA certificates the warning     tells users to upgrade to OTP 25 or later, which they already run. This advisory is published so that     users who took those notices as general advice know their HTTPS requests weren't authenticated. This issue     affects hex_core: from 0.1.0 before 0.20.0. (CVE-2026-103502)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-b514ab4cac advisory.

    hex_core ver. 0.21.1

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-b300043748 advisory.

    hex_core ver. 0.21.1

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
366699	Linux Distros 未修補弱點：CVE-2026-103502	Nessus	Misc.	10/17/2026	10/28/2026	medium
366699	Linux Distros 未修补的漏洞：CVE-2026-103502	Nessus	Misc.	10/17/2026	10/28/2026	medium
366699	Linux Distros のパッチ未適用の脆弱性: CVE-2026-103502	Nessus	Misc.	10/17/2026	10/28/2026	medium
366699	Linux Distros Unpatched Vulnerability : CVE-2026-103502	Nessus	Misc.	10/17/2026	10/28/2026	medium
375400	Fedora 45 : erlang-hex_core (2026-b514ab4cac)	Nessus	Fedora Local Security Checks	11/3/2026	11/3/2026	medium
375409	Fedora 44 : erlang-hex_core (2026-b300043748)	Nessus	Fedora Local Security Checks	11/3/2026	11/3/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium