リモートの Fedora 44 ホストには、FEDORA-2026-ec9f1ca21a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「routinator」を最新のバージョンに更新し、更新された依存関係(「rpki」および「syslog」)を取り込み、この更新で「fern」を 6 ではなく「syslog」7 を使用するように切り替え、「ifcfg-devname」にバインドされている「syslog」バージョンを緩めます。


    # v0.15.2 このリリースでは、[X41 D-Sec]によって実施され、[Sovereign Tech Agency]が資金提供したセキュリティ監査によって特定された、多数の脆弱性とセキュリティの問題を修正します。

    **全ユーザーは、できるだけ早くアップグレードすることが推奨されます。**

    ## セキュリティ修正

    * 受信 HTTP および RTR 接続を受け入れる場合の一時的なエラーの処理方法を変更しました。終了する代わりに警告が印刷され、エラーが無視されます。([#1099])

      この問題は [CVE-2026-49232] に割り当てられました。

    * rsync URI の不正なパスコンポーネントのチェックを拡張し、権限とモジュールの部分も含めました。([rpki-rs#370]経由)

      これは、[CVE-2026-49233] が割り当てられているパストラバーサルの脆弱性を修正します。

    * 文字列から特定の AS 番号を解析するときのパニックを修正しました。([rpki-rs#373]経由)

      これは、[CVE-2026-49234] が割り当てられている脆弱性を修正します。

    * quick-xml を少なくとも 0.39.4 にアップグレードし、特定のクレートされた XML ファイルでパニックを引き起こす可能性がある XML 解析の回帰を修正しました。([rpki-rs#372]経由)

      これは、[CVE-2026-49235] が割り当てられている脆弱性を修正します。

    ## 改善点

    * HTTP 経由でダウンロードされるトラストアンカー証明書を、「max_object_size」構成オプションで指定されたサイズに制限しました。([#1090])
    * 「-e」および「--rsh」オプションは、「rsync-args」構成オプションで拒否されます。同様に、Routinator は同等の環境変数「RSYNC_RSH」が設定されている場合は起動しません。([#1091])

    ## バグ修正

    * systemd 経由で受信した RTR リスナーソケットをノンブロッキングに設定します。これは Tokio のパニックを修正します。([#1081] by [@MaxHearnden])
    * 「--rrdp-tcp-keepalive」をコマンドライン引数ではなくコマンドラインオプションとして修正しました。
    ([1085])

    ## その他の変更

    * Ubuntu Resolute Raccoon(26.04)のサポート。([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090[#1091]: https://github.com/NLnetLabs/routinator/pull/1091[#1081]: https://github.com/NLnetLabs/routinator/pull/1081[#1085]: https://github.com/NLnetLabs/routinator/pull/1085[#1095]: https://github.com/NLnetLabs/routinator/pull/1095[@MaxHearnden]: https://github.com/MaxHearnden[rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370[rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372[rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373[CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt[CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt[CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt[CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt[X41 D-Sec]: https://www.x41-dsec.de/[Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## バグ修正

    * 空のデータセットで成功する代わりに、TAL の保存された TA 証明書がない場合、楽観的な最初の実行を中止します。([#1071])
    * systemd ユニットファイルの「PrivateUsers」制限を元に戻して、ユーザーが権限のあるポートで Routinator を実行できるようにします。([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068[#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## 互換性に影響する変更

    * 「rrdp-keep-responses」機能を削除しました。代わりに [mitmproxy] などの HTTP プロキシの使用をお勧めします。

      これは、リリース 0.14.0 で再び戻ってきた [CVE-2023-39916] をきっぱりと修正します。([#1055])
    * リポジトリとパブリケーションポイントに関する問題に関するメッセージは別々にログに記録され、デフォルトではステータス HTTP サーバーエンドポイントにのみ表示されます。新しい「log-repository-issues」オプションを使用すると、これらのメッセージもログに書き込まれる可能性があります。([#1054])
    * 破損または欠落しているローカル例外ファイルについてサーバーモードが処理する方法を変更しました。以前は、Routinator は修正されるまで更新を停止し、オペレーターがエラーメッセージを見逃すと更新が停止していました。現在は、警告をログに残し、以前の一連のローカル例外を使用し続けます。起動時に、破損しているか、ローカルの例外ファイルがない場合、エラーメッセージで終了します。([#1060])
    * RRDP タイムアウトを変更しました:新しい構成変数「rrdp-read-timeout」を導入しました。これは、個々のネットワーク操作(主にサーバーからの読み取り)のタイムアウトを提供します。デフォルトは 10 秒です。このタイムアウトは、特定の値が指定されていない接続の場合にも使用され、検証実行が大幅に高速化されます。

      さらに、一部のリポジトリの大きなスナップショットの転送が遅い場合に対処しやすくするために、RRDP タイムアウトが 300 秒から 600 秒に延長されました。([#1061])

    ## 新規

    * サーバーの起動後のクイック初期実行を追加しました。これは保存されたデータのみを使用し、構成変更に対処するために必要なデータが以前にリクエストされていない場合に中止します。これにより、Routinator を再起動する際の初期データセットに対する待機時間が短縮されます。([#1057])
    * ASPA ペイロードを含む出力フォーマットとして SLURM v2 のサポートを追加しました。([#1021])
    * 有効期間の短いオブジェクトによりよく対処できるように、リフレッシュの挙動を変更しました。デフォルトでは、オブジェクトの有効期限が切れた場合も、Routinator は「refresh」で定義された時間待機するようになりました。新しい「min-refresh」オプションを使用すると、更新時間の前にオブジェクトの有効期限が切れた場合に、短い最小更新時間を指定できます。この値をゼロに設定すると、以前の動作が復元されます。([#1027])
    * マニフェストエントリが処理される順序がランダム化されました。([#1041])
    * RRDP スナップショットのダウンロードを保存するオーバーヘッドを削減し、スナップショットの更新時間を大幅に改善しました。([#1035])
    * 「dump」コマンドは、ダンプするデータのソースディレクトリを出力するようになりました。([#1045])
    * 最後に成功した検証実行が所定の分数未満であることが判明した場合にローカルキャッシュの更新をスキップする、「vrps」サブコマンドに「--update-after」オプションを追加しました。([#1049])
    * API 関連の HTTP エンドポイントのエラー応答に、JSON 本文が含まれるようになりました。([#1050])
    * 「/validity」HTTP サーバーエンドポイントが、一度にすべてチェックする複数のルートが含まれる JSON 本文付きの POST リクエストを受け入れるようになりました。([#1053])
    * キャッシュされたマニフェストプロパティを実際のマニフェストに対してダブルチェックし、一致しない場合は保存されたパブリケーションポイントを破棄することで、破損した保存されたパブリケーションポイントに対する保護を改善します。

      これは、偶発的にまたは悪意を持ってローカルに保存されたマニフェストが、正当な新しいマニフェストの更新をブロックする可能性がある問題を修正します。これは、清華大学ネットワーク科学サイバー空間研究所(INSC)の Zizhi Shang 氏、Zhechao Lin 氏、Jiahao Cao 氏、Yangyang Wang 氏、Mingwei Xu 氏により報告されました。

    ## バグ修正

    * [RFC9286] で定義されたルールに名前を制限することにより、特定の無効な文字がマニフェストファイル名に現れる場合のクラッシュを修正しました。この問題は、ゲーテ大学フランクフルトと ATHENE の Niklas Vogel 氏により報告されました。([rpki-rs#342])
    * RTRTR によって使用される、より単純なモデルに基づいて、RRDP クライアントメトリクスを再実装し、メトリクスで繰り返し発生するエラーを修正します。([#1039])
    * RRDP 更新がタイムアウトしたときに記録されるメッセージが、実際にそのことを言うように変更されました。([#1052])

    ## その他の変更

    * validate サブコマンドでのファイルシステムオペレーションのパフォーマンスを改善しました。([#1043] by [@kawaemon])
    * package.homepage を Cargo.toml に追加します([#1024])
    * RHEL 10 と Debian 13 用のビルドパッケージを追加しました。([#1034]、[#1047])
    * Debian Bookworm の ARMv6 および ARM64 のビルドパッケージを追加しました。([#1036])
    * さまざまなバイナリパッケージで使用される systemd ユニットファイルに追加制限を追加しました。([#1056])
    * さまざまな依存関係をアップグレードします。([#1004]、[#1005]、[#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004[#1005]: https://github.com/NLnetLabs/routinator/pull/1005[#1006]: https://github.com/NLnetLabs/routinator/pull/1006[#1014]: https://github.com/NLnetLabs/routinator/pull/1014[#1021]: https://github.com/NLnetLabs/routinator/pull/1021[#1024]: https://github.com/NLnetLabs/routinator/pull/1024[#1027]: https://github.com/NLnetLabs/routinator/pull/1027[#1034]: https://github.com/NLnetLabs/routinator/pull/1034[#1035]: https://github.com/NLnetLabs/routinator/pull/1035[#1036]: https://github.com/NLnetLabs/routinator/pull/1036[#1039]: https://github.com/NLnetLabs/routinator/pull/1039[#1041]: https://github.com/NLnetLabs/routinator/pull/1041[#1043]: https://github.com/NLnetLabs/routinator/pull/1043[#1045]: https://github.com/NLnetLabs/routinator/pull/1045[#1047]: https://github.com/NLnetLabs/routinator/pull/1047[#1049]: https://github.com/NLnetLabs/routinator/pull/1049[#1052]: https://github.com/NLnetLabs/routinator/pull/1052[#1053]: https://github.com/NLnetLabs/routinator/pull/1053[#1055]: https://github.com/NLnetLabs/routinator/pull/1055[#1056]: https://github.com/NLnetLabs/routinator/pull/1056[#1057]: https://github.com/NLnetLabs/routinator/pull/1057[#1060]: https://github.com/NLnetLabs/routinator/pull/1060[#1061]: https://github.com/NLnetLabs/routinator/pull/1061[rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342[@kawaemon]: https://github.com/kawaemon[MitMproxy]: https://www.mitmproxy.org/[RFC9286]: https://tools.ietf.org/html/rfc9286[CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-659cb50390 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「routinator」を最新のバージョンに更新し、更新された依存関係(「rpki」および「syslog」)を取り込み、この更新で「fern」を 6 ではなく「syslog」7 を使用するように切り替え、「ifcfg-devname」にバインドされている「syslog」バージョンを緩めます。


    # v0.15.2 このリリースでは、[X41 D-Sec]によって実施され、[Sovereign Tech Agency]が資金提供したセキュリティ監査によって特定された、多数の脆弱性とセキュリティの問題を修正します。

    **全ユーザーは、できるだけ早くアップグレードすることが推奨されます。**

    ## セキュリティ修正

    * 受信 HTTP および RTR 接続を受け入れる場合の一時的なエラーの処理方法を変更しました。終了する代わりに警告が印刷され、エラーが無視されます。([#1099])

      この問題は [CVE-2026-49232] に割り当てられました。

    * rsync URI の不正なパスコンポーネントのチェックを拡張し、権限とモジュールの部分も含めました。([rpki-rs#370]経由)

      これは、[CVE-2026-49233] が割り当てられているパストラバーサルの脆弱性を修正します。

    * 文字列から特定の AS 番号を解析するときのパニックを修正しました。([rpki-rs#373]経由)

      これは、[CVE-2026-49234] が割り当てられている脆弱性を修正します。

    * quick-xml を少なくとも 0.39.4 にアップグレードし、特定のクレートされた XML ファイルでパニックを引き起こす可能性がある XML 解析の回帰を修正しました。([rpki-rs#372]経由)

      これは、[CVE-2026-49235] が割り当てられている脆弱性を修正します。

    ## 改善点

    * HTTP 経由でダウンロードされるトラストアンカー証明書を、「max_object_size」構成オプションで指定されたサイズに制限しました。([#1090])
    * 「-e」および「--rsh」オプションは、「rsync-args」構成オプションで拒否されます。同様に、Routinator は同等の環境変数「RSYNC_RSH」が設定されている場合は起動しません。([#1091])

    ## バグ修正

    * systemd 経由で受信した RTR リスナーソケットをノンブロッキングに設定します。これは Tokio のパニックを修正します。([#1081] by [@MaxHearnden])
    * 「--rrdp-tcp-keepalive」をコマンドライン引数ではなくコマンドラインオプションとして修正しました。
    ([1085])

    ## その他の変更

    * Ubuntu Resolute Raccoon(26.04)のサポート。([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090[#1091]: https://github.com/NLnetLabs/routinator/pull/1091[#1081]: https://github.com/NLnetLabs/routinator/pull/1081[#1085]: https://github.com/NLnetLabs/routinator/pull/1085[#1095]: https://github.com/NLnetLabs/routinator/pull/1095[@MaxHearnden]: https://github.com/MaxHearnden[rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370[rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372[rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373[CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt[CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt[CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt[CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt[X41 D-Sec]: https://www.x41-dsec.de/[Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## バグ修正

    * 空のデータセットで成功する代わりに、TAL の保存された TA 証明書がない場合、楽観的な最初の実行を中止します。([#1071])
    * systemd ユニットファイルの「PrivateUsers」制限を元に戻して、ユーザーが権限のあるポートで Routinator を実行できるようにします。([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068[#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## 互換性に影響する変更

    * 「rrdp-keep-responses」機能を削除しました。代わりに [mitmproxy] などの HTTP プロキシの使用をお勧めします。

      これは、リリース 0.14.0 で再び戻ってきた [CVE-2023-39916] をきっぱりと修正します。([#1055])
    * リポジトリとパブリケーションポイントに関する問題に関するメッセージは別々にログに記録され、デフォルトではステータス HTTP サーバーエンドポイントにのみ表示されます。新しい「log-repository-issues」オプションを使用すると、これらのメッセージもログに書き込まれる可能性があります。([#1054])
    * 破損または欠落しているローカル例外ファイルについてサーバーモードが処理する方法を変更しました。以前は、Routinator は修正されるまで更新を停止し、オペレーターがエラーメッセージを見逃すと更新が停止していました。現在は、警告をログに残し、以前の一連のローカル例外を使用し続けます。起動時に、破損しているか、ローカルの例外ファイルがない場合、エラーメッセージで終了します。([#1060])
    * RRDP タイムアウトを変更しました:新しい構成変数「rrdp-read-timeout」を導入しました。これは、個々のネットワーク操作(主にサーバーからの読み取り)のタイムアウトを提供します。デフォルトは 10 秒です。このタイムアウトは、特定の値が指定されていない接続の場合にも使用され、検証実行が大幅に高速化されます。

      さらに、一部のリポジトリの大きなスナップショットの転送が遅い場合に対処しやすくするために、RRDP タイムアウトが 300 秒から 600 秒に延長されました。([#1061])

    ## 新規

    * サーバーの起動後のクイック初期実行を追加しました。これは保存されたデータのみを使用し、構成変更に対処するために必要なデータが以前にリクエストされていない場合に中止します。これにより、Routinator を再起動する際の初期データセットに対する待機時間が短縮されます。([#1057])
    * ASPA ペイロードを含む出力フォーマットとして SLURM v2 のサポートを追加しました。([#1021])
    * 有効期間の短いオブジェクトによりよく対処できるように、リフレッシュの挙動を変更しました。デフォルトでは、オブジェクトの有効期限が切れた場合も、Routinator は「refresh」で定義された時間待機するようになりました。新しい「min-refresh」オプションを使用すると、更新時間の前にオブジェクトの有効期限が切れた場合に、短い最小更新時間を指定できます。この値をゼロに設定すると、以前の動作が復元されます。([#1027])
    * マニフェストエントリが処理される順序がランダム化されました。([#1041])
    * RRDP スナップショットのダウンロードを保存するオーバーヘッドを削減し、スナップショットの更新時間を大幅に改善しました。([#1035])
    * 「dump」コマンドは、ダンプするデータのソースディレクトリを出力するようになりました。([#1045])
    * 最後に成功した検証実行が所定の分数未満であることが判明した場合にローカルキャッシュの更新をスキップする、「vrps」サブコマンドに「--update-after」オプションを追加しました。([#1049])
    * API 関連の HTTP エンドポイントのエラー応答に、JSON 本文が含まれるようになりました。([#1050])
    * 「/validity」HTTP サーバーエンドポイントが、一度にすべてチェックする複数のルートが含まれる JSON 本文付きの POST リクエストを受け入れるようになりました。([#1053])
    * キャッシュされたマニフェストプロパティを実際のマニフェストに対してダブルチェックし、一致しない場合は保存されたパブリケーションポイントを破棄することで、破損した保存されたパブリケーションポイントに対する保護を改善します。

      これは、偶発的にまたは悪意を持ってローカルに保存されたマニフェストが、正当な新しいマニフェストの更新をブロックする可能性がある問題を修正します。これは、清華大学ネットワーク科学サイバー空間研究所(INSC)の Zizhi Shang 氏、Zhechao Lin 氏、Jiahao Cao 氏、Yangyang Wang 氏、Mingwei Xu 氏により報告されました。

    ## バグ修正

    * [RFC9286] で定義されたルールに名前を制限することにより、特定の無効な文字がマニフェストファイル名に現れる場合のクラッシュを修正しました。この問題は、ゲーテ大学フランクフルトと ATHENE の Niklas Vogel 氏により報告されました。([rpki-rs#342])
    * RTRTR によって使用される、より単純なモデルに基づいて、RRDP クライアントメトリクスを再実装し、メトリクスで繰り返し発生するエラーを修正します。([#1039])
    * RRDP 更新がタイムアウトしたときに記録されるメッセージが、実際にそのことを言うように変更されました。([#1052])

    ## その他の変更

    * validate サブコマンドでのファイルシステムオペレーションのパフォーマンスを改善しました。([#1043] by [@kawaemon])
    * package.homepage を Cargo.toml に追加します([#1024])
    * RHEL 10 と Debian 13 用のビルドパッケージを追加しました。([#1034]、[#1047])
    * Debian Bookworm の ARMv6 および ARM64 のビルドパッケージを追加しました。([#1036])
    * さまざまなバイナリパッケージで使用される systemd ユニットファイルに追加制限を追加しました。([#1056])
    * さまざまな依存関係をアップグレードします。([#1004]、[#1005]、[#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004[#1005]: https://github.com/NLnetLabs/routinator/pull/1005[#1006]: https://github.com/NLnetLabs/routinator/pull/1006[#1014]: https://github.com/NLnetLabs/routinator/pull/1014[#1021]: https://github.com/NLnetLabs/routinator/pull/1021[#1024]: https://github.com/NLnetLabs/routinator/pull/1024[#1027]: https://github.com/NLnetLabs/routinator/pull/1027[#1034]: https://github.com/NLnetLabs/routinator/pull/1034[#1035]: https://github.com/NLnetLabs/routinator/pull/1035[#1036]: https://github.com/NLnetLabs/routinator/pull/1036[#1039]: https://github.com/NLnetLabs/routinator/pull/1039[#1041]: https://github.com/NLnetLabs/routinator/pull/1041[#1043]: https://github.com/NLnetLabs/routinator/pull/1043[#1045]: https://github.com/NLnetLabs/routinator/pull/1045[#1047]: https://github.com/NLnetLabs/routinator/pull/1047[#1049]: https://github.com/NLnetLabs/routinator/pull/1049[#1052]: https://github.com/NLnetLabs/routinator/pull/1052[#1053]: https://github.com/NLnetLabs/routinator/pull/1053[#1055]: https://github.com/NLnetLabs/routinator/pull/1055[#1056]: https://github.com/NLnetLabs/routinator/pull/1056[#1057]: https://github.com/NLnetLabs/routinator/pull/1057[#1060]: https://github.com/NLnetLabs/routinator/pull/1060[#1061]: https://github.com/NLnetLabs/routinator/pull/1061[rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342[@kawaemon]: https://github.com/kawaemon[MitMproxy]: https://www.mitmproxy.org/[RFC9286]: https://tools.ietf.org/html/rfc9286[CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、ea9d1fd2-5d24-11ee-8507-b42e991fc52e のアドバイザリに記載されている脆弱性の影響を受けます。

  - NLnet Labs の Routinator 0.9.0 ～ 0.12.1 では、ユーザーが RRDP リクエストに対して受信した応答のコンテンツを保存することを可能にする、デフォルトではオフになっているオプションの keep-rrdp-responses 機能にパストラバーサルの脆弱性が含まれている可能性があります。これらの保存された応答の場所は、リクエストの URL から構築されます。URL のサニタイズが不十分なため、攻撃者は URL を細工し、指定されたディレクトリの外に応答を保存できる可能性があります。(CVE-2023-39916)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 45 ホストには、FEDORA-2026-188f731254 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「routinator」を最新のバージョンに更新し、更新された依存関係(「rpki」および「syslog」)を取り込み、この更新で「fern」を 6 ではなく「syslog」7 を使用するように切り替え、「ifcfg-devname」にバインドされている「syslog」バージョンを緩めます。


    # v0.15.2 このリリースでは、[X41 D-Sec]によって実施され、[Sovereign Tech Agency]が資金提供したセキュリティ監査によって特定された、多数の脆弱性とセキュリティの問題を修正します。

    **全ユーザーは、できるだけ早くアップグレードすることが推奨されます。**

    ## セキュリティ修正

    * 受信 HTTP および RTR 接続を受け入れる場合の一時的なエラーの処理方法を変更しました。終了する代わりに警告が印刷され、エラーが無視されます。([#1099])

      この問題は [CVE-2026-49232] に割り当てられました。

    * rsync URI の不正なパスコンポーネントのチェックを拡張し、権限とモジュールの部分も含めました。([rpki-rs#370]経由)

      これは、[CVE-2026-49233] が割り当てられているパストラバーサルの脆弱性を修正します。

    * 文字列から特定の AS 番号を解析するときのパニックを修正しました。([rpki-rs#373]経由)

      これは、[CVE-2026-49234] が割り当てられている脆弱性を修正します。

    * quick-xml を少なくとも 0.39.4 にアップグレードし、特定のクレートされた XML ファイルでパニックを引き起こす可能性がある XML 解析の回帰を修正しました。([rpki-rs#372]経由)

      これは、[CVE-2026-49235] が割り当てられている脆弱性を修正します。

    ## 改善点

    * HTTP 経由でダウンロードされるトラストアンカー証明書を、「max_object_size」構成オプションで指定されたサイズに制限しました。([#1090])
    * 「-e」および「--rsh」オプションは、「rsync-args」構成オプションで拒否されます。同様に、Routinator は同等の環境変数「RSYNC_RSH」が設定されている場合は起動しません。([#1091])

    ## バグ修正

    * systemd 経由で受信した RTR リスナーソケットをノンブロッキングに設定します。これは Tokio のパニックを修正します。([#1081] by [@MaxHearnden])
    * 「--rrdp-tcp-keepalive」をコマンドライン引数ではなくコマンドラインオプションとして修正しました。
    ([1085])

    ## その他の変更

    * Ubuntu Resolute Raccoon(26.04)のサポート。([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090[#1091]: https://github.com/NLnetLabs/routinator/pull/1091[#1081]: https://github.com/NLnetLabs/routinator/pull/1081[#1085]: https://github.com/NLnetLabs/routinator/pull/1085[#1095]: https://github.com/NLnetLabs/routinator/pull/1095[@MaxHearnden]: https://github.com/MaxHearnden[rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370[rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372[rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373[CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt[CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt[CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt[CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt[X41 D-Sec]: https://www.x41-dsec.de/[Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## バグ修正

    * 空のデータセットで成功する代わりに、TAL の保存された TA 証明書がない場合、楽観的な最初の実行を中止します。([#1071])
    * systemd ユニットファイルの「PrivateUsers」制限を元に戻して、ユーザーが権限のあるポートで Routinator を実行できるようにします。([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068[#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## 互換性に影響する変更

    * 「rrdp-keep-responses」機能を削除しました。代わりに [mitmproxy] などの HTTP プロキシの使用をお勧めします。

      これは、リリース 0.14.0 で再び戻ってきた [CVE-2023-39916] をきっぱりと修正します。([#1055])
    * リポジトリとパブリケーションポイントに関する問題に関するメッセージは別々にログに記録され、デフォルトではステータス HTTP サーバーエンドポイントにのみ表示されます。新しい「log-repository-issues」オプションを使用すると、これらのメッセージもログに書き込まれる可能性があります。([#1054])
    * 破損または欠落しているローカル例外ファイルについてサーバーモードが処理する方法を変更しました。以前は、Routinator は修正されるまで更新を停止し、オペレーターがエラーメッセージを見逃すと更新が停止していました。現在は、警告をログに残し、以前の一連のローカル例外を使用し続けます。起動時に、破損しているか、ローカルの例外ファイルがない場合、エラーメッセージで終了します。([#1060])
    * RRDP タイムアウトを変更しました:新しい構成変数「rrdp-read-timeout」を導入しました。これは、個々のネットワーク操作(主にサーバーからの読み取り)のタイムアウトを提供します。デフォルトは 10 秒です。このタイムアウトは、特定の値が指定されていない接続の場合にも使用され、検証実行が大幅に高速化されます。

      さらに、一部のリポジトリの大きなスナップショットの転送が遅い場合に対処しやすくするために、RRDP タイムアウトが 300 秒から 600 秒に延長されました。([#1061])

    ## 新規

    * サーバーの起動後のクイック初期実行を追加しました。これは保存されたデータのみを使用し、構成変更に対処するために必要なデータが以前にリクエストされていない場合に中止します。これにより、Routinator を再起動する際の初期データセットに対する待機時間が短縮されます。([#1057])
    * ASPA ペイロードを含む出力フォーマットとして SLURM v2 のサポートを追加しました。([#1021])
    * 有効期間の短いオブジェクトによりよく対処できるように、リフレッシュの挙動を変更しました。デフォルトでは、オブジェクトの有効期限が切れた場合も、Routinator は「refresh」で定義された時間待機するようになりました。新しい「min-refresh」オプションを使用すると、更新時間の前にオブジェクトの有効期限が切れた場合に、短い最小更新時間を指定できます。この値をゼロに設定すると、以前の動作が復元されます。([#1027])
    * マニフェストエントリが処理される順序がランダム化されました。([#1041])
    * RRDP スナップショットのダウンロードを保存するオーバーヘッドを削減し、スナップショットの更新時間を大幅に改善しました。([#1035])
    * 「dump」コマンドは、ダンプするデータのソースディレクトリを出力するようになりました。([#1045])
    * 最後に成功した検証実行が所定の分数未満であることが判明した場合にローカルキャッシュの更新をスキップする、「vrps」サブコマンドに「--update-after」オプションを追加しました。([#1049])
    * API 関連の HTTP エンドポイントのエラー応答に、JSON 本文が含まれるようになりました。([#1050])
    * 「/validity」HTTP サーバーエンドポイントが、一度にすべてチェックする複数のルートが含まれる JSON 本文付きの POST リクエストを受け入れるようになりました。([#1053])
    * キャッシュされたマニフェストプロパティを実際のマニフェストに対してダブルチェックし、一致しない場合は保存されたパブリケーションポイントを破棄することで、破損した保存されたパブリケーションポイントに対する保護を改善します。

      これは、偶発的にまたは悪意を持ってローカルに保存されたマニフェストが、正当な新しいマニフェストの更新をブロックする可能性がある問題を修正します。これは、清華大学ネットワーク科学サイバー空間研究所(INSC)の Zizhi Shang 氏、Zhechao Lin 氏、Jiahao Cao 氏、Yangyang Wang 氏、Mingwei Xu 氏により報告されました。

    ## バグ修正

    * [RFC9286] で定義されたルールに名前を制限することにより、特定の無効な文字がマニフェストファイル名に現れる場合のクラッシュを修正しました。この問題は、ゲーテ大学フランクフルトと ATHENE の Niklas Vogel 氏により報告されました。([rpki-rs#342])
    * RTRTR によって使用される、より単純なモデルに基づいて、RRDP クライアントメトリクスを再実装し、メトリクスで繰り返し発生するエラーを修正します。([#1039])
    * RRDP 更新がタイムアウトしたときに記録されるメッセージが、実際にそのことを言うように変更されました。([#1052])

    ## その他の変更

    * validate サブコマンドでのファイルシステムオペレーションのパフォーマンスを改善しました。([#1043] by [@kawaemon])
    * package.homepage を Cargo.toml に追加します([#1024])
    * RHEL 10 と Debian 13 用のビルドパッケージを追加しました。([#1034]、[#1047])
    * Debian Bookworm の ARMv6 および ARM64 のビルドパッケージを追加しました。([#1036])
    * さまざまなバイナリパッケージで使用される systemd ユニットファイルに追加制限を追加しました。([#1056])
    * さまざまな依存関係をアップグレードします。([#1004]、[#1005]、[#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004[#1005]: https://github.com/NLnetLabs/routinator/pull/1005[#1006]: https://github.com/NLnetLabs/routinator/pull/1006[#1014]: https://github.com/NLnetLabs/routinator/pull/1014[#1021]: https://github.com/NLnetLabs/routinator/pull/1021[#1024]: https://github.com/NLnetLabs/routinator/pull/1024[#1027]: https://github.com/NLnetLabs/routinator/pull/1027[#1034]: https://github.com/NLnetLabs/routinator/pull/1034[#1035]: https://github.com/NLnetLabs/routinator/pull/1035[#1036]: https://github.com/NLnetLabs/routinator/pull/1036[#1039]: https://github.com/NLnetLabs/routinator/pull/1039[#1041]: https://github.com/NLnetLabs/routinator/pull/1041[#1043]: https://github.com/NLnetLabs/routinator/pull/1043[#1045]: https://github.com/NLnetLabs/routinator/pull/1045[#1047]: https://github.com/NLnetLabs/routinator/pull/1047[#1049]: https://github.com/NLnetLabs/routinator/pull/1049[#1052]: https://github.com/NLnetLabs/routinator/pull/1052[#1053]: https://github.com/NLnetLabs/routinator/pull/1053[#1055]: https://github.com/NLnetLabs/routinator/pull/1055[#1056]: https://github.com/NLnetLabs/routinator/pull/1056[#1057]: https://github.com/NLnetLabs/routinator/pull/1057[#1060]: https://github.com/NLnetLabs/routinator/pull/1060[#1061]: https://github.com/NLnetLabs/routinator/pull/1061[rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342[@kawaemon]: https://github.com/kawaemon[MitMproxy]: https://www.mitmproxy.org/[RFC9286]: https://tools.ietf.org/html/rfc9286[CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the ea9d1fd2-5d24-11ee-8507-b42e991fc52e advisory.

  - NLnet Labs' Routinator 0.9.0 up to and including 0.12.1 contains a possible path traversal vulnerability     in the optional, off-by-default keep-rrdp-responses feature that allows users to store the content of     responses received for RRDP requests. The location of these stored responses is constructed from the URL     of the request. Due to insufficient sanitation of the URL, it is possible for an attacker to craft a URL     that results in the response being stored outside of the directory specified for it. (CVE-2023-39916)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-ec9f1ca21a advisory.

    Update `routinator` to the latest, pulling in updated dependencies (`rpki` and `syslog`), and switch     `fern` to using `syslog` 7 instead of 6 for this update, and loosen the `syslog` version bound for `ifcfg-     devname`.


    # v0.15.2     This release fixes a number of vulnerabilities and security issues identified by a security audit     performed by [X41 D-Sec] and financed by [Sovereign Tech Agency].

    **We advise all users to upgrade at their earliest convenience.**

    ## Security fixes

    * Changed how transient errors when accepting incoming HTTP and RTR connections are handled: instead of     exiting, a warning is printed and the error is ignored. ([#1099])

      This issue was assigned [CVE-2026-49232].

    * Extended the check for illegal path components in rsync URIs to also include the authority and module     parts. (via [rpki-rs#370])

      This fixes a path traversal vulnerability that has been assigned [CVE-2026-49233].

    * Fixed a panic when parsing certain AS numbers from strings. (via [rpki-rs#373])

      This fixes a vulnerability that has been assigned [CVE-2026-49234].

    * Upgraded quick-xml to at least 0.39.4 to fix a regression in XML parsing that may lead a panic on     certain crated XML files. (via [rpki-rs#372])

      This fixes a vulnerability that has been assigned [CVE-2026-49235].

    ## Improvements

    * Restricted trust anchor certificates downloaded via HTTP to the size given via the `max_object_size`     config option. ([#1090])
    * The `-e` and `--rsh` options will now be rejected in the `rsync-args` config option. Similarly,     Routinator will not start if the equivalent evironment variable `RSYNC_RSH` is set. ([#1091])

    ## Bug fixes

    * Set an RTR listener socket received via systemd to non-blocking. This fixes a panic in Tokio. ([#1081]     by [@MaxHearnden])
    * Fixed the `--rrdp-tcp-keepalive` to be a command line option rather than a command line argument.
    ([1085])

    ## Other changes

    * Support for Ubuntu Resolute Raccoon (26.04). ([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090     [#1091]: https://github.com/NLnetLabs/routinator/pull/1091     [#1081]: https://github.com/NLnetLabs/routinator/pull/1081     [#1085]: https://github.com/NLnetLabs/routinator/pull/1085     [#1095]: https://github.com/NLnetLabs/routinator/pull/1095     [@MaxHearnden]: https://github.com/MaxHearnden     [rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370     [rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372     [rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373     [CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt     [CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt     [CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt     [CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt     [X41 D-Sec]: https://www.x41-dsec.de/     [Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## Bug fixes

    * Abort the optimistic initial run if there are no stored TA certificates for a TAL instead of succeeding     with an empty data set. ([#1071])
    * Undo `PrivateUsers` restriction in systemd unit files to allow user to run Routinator on privileged     ports. ([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068     [#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## Breaking changes

    * Removed the `rrdp-keep-responses` feature. We suggest the use of an HTTP proxy such as [mitmproxy]     instead.

      This once and for all fixes [CVE-2023-39916] which returned again in release 0.14.0. ([#1055])
    * Messages about issues with repositories and publication points are now logged separately and by default     are only visible in the status HTTP server endpoints. The new `log-repository-issues` option can be used     to have these messages also written to the log. ([#1054])
    * Changed how server mode deals with broken or missing local exception files. Previously, Routinator would     just stop updating until they are fixed, leading to updates being stalled if the operator misses the error     messages. Now it will log a warning and keep using the previous set of local exceptions. When starting, it     will exit with an error message if there are broken or missing local exception files. ([#1060])
    * Changed the RRDP timeouts: introduced a new config variable `rrdp-read-timeout` that provides a timeout     for individual network operations (primarily: read from the server). Its default is 10 seconds. This     timeout is also used for connecting of no specific value is given, significantly speeding up validation     runs.

      In addition, the RRDP timeout was increased from 300 to 600 seconds to better deal with slow     transmission of large snapshots of some repositories. ([#1061])

    ## New

    * Added a quick initial run after starting the server which only uses stored data and aborts if any     required data hasnt been requested before to deal with configuration changes. This will shorten the     wait time for an initial data set when restarting Routinator. ([#1057])
    * Added support for SLURM v2 as output format which includes ASPA payload. ([#1021])
    * Changed refresh behaviour to better cope with short-lived objects. By default, Routinator will now wait     for the time defined by `refresh` even if objects expire earlier. The new `min-refresh` option can be used     to specify a short minimum refresh time if objects expire before the refresh time. If this value is set to     0, the old behaviour is restored. ([#1027])
    * The order in which manifest entries are processed is now randomized. ([#1041])
    * Reduced the overhead of storing RRDP snapshot downloads, significantly improving the snapshot update     times. ([#1035])
    * The `dump` command now prints the source directories of the data it dumps. ([#1045])
    * Added a `--update-after` option to the `vrps` subcommand that skips updating the local cache if the last     successful validation run was known to be less than a given number of minutes ago. ([#1049])
    * Error responses for API-related HTTP endpoints now contain JSON bodies. ([#1050])
    * The `/validity` HTTP server endpoint now accepts POST requests with a JSON body containing multiple     routes to be checked all at once. ([#1053])
    * Better protect against corrupted stored publication points by double checking cached manifest properties     against the actual manifest and discard the stored publication point if they mismatch.

      This fixes an issue where an accidentally or maliciously manipulated locally stored manifest could block     update of a legitimate new manifest which was reported by Zizhi Shang, Zhechao Lin, Jiahao Cao, Yangyang     Wang, Mingwei Xu of the Institute for Network Sciences and Cyberspace (INSC), Tsinghua University.

    ## Bug fixes

    * Fixed a crash if certain invalid character appear in a manifest file name by limiting the name to the     rules defined in [RFC9286]. This issue was reported by  Niklas Vogel of Goethe University Frankfurt and     ATHENE. ([rpki-rs#342])
    * Re-implemented RRDP client metrics based on the much simpler model used by RTRTR to fix recurring errors     in the metrics. ([#1039])
    * Changed the message logged when an RRDP update times out to actually say that. ([#1052])

    ## Other changes

    * Improved performance of file system operations on validate subcommand. ([#1043] by [@kawaemon])
    * Add package.homepage to Cargo.toml ([#1024])
    * Added building packages for RHEL 10 and Debian 13. ([#1034], [#1047])
    * Added building packages for ARMv6 and ARM64 for Debian Bookworm. ([#1036])
    * Added additional restrictions to the systemd unit files used in the various binary packages. ([#1056])
    * Upgrades various dependencies. ([#1004], [#1005], [#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004     [#1005]: https://github.com/NLnetLabs/routinator/pull/1005     [#1006]: https://github.com/NLnetLabs/routinator/pull/1006     [#1014]: https://github.com/NLnetLabs/routinator/pull/1014     [#1021]: https://github.com/NLnetLabs/routinator/pull/1021     [#1024]: https://github.com/NLnetLabs/routinator/pull/1024     [#1027]: https://github.com/NLnetLabs/routinator/pull/1027     [#1034]: https://github.com/NLnetLabs/routinator/pull/1034     [#1035]: https://github.com/NLnetLabs/routinator/pull/1035     [#1036]: https://github.com/NLnetLabs/routinator/pull/1036     [#1039]: https://github.com/NLnetLabs/routinator/pull/1039     [#1041]: https://github.com/NLnetLabs/routinator/pull/1041     [#1043]: https://github.com/NLnetLabs/routinator/pull/1043     [#1045]: https://github.com/NLnetLabs/routinator/pull/1045     [#1047]: https://github.com/NLnetLabs/routinator/pull/1047     [#1049]: https://github.com/NLnetLabs/routinator/pull/1049     [#1052]: https://github.com/NLnetLabs/routinator/pull/1052     [#1053]: https://github.com/NLnetLabs/routinator/pull/1053     [#1055]: https://github.com/NLnetLabs/routinator/pull/1055     [#1056]: https://github.com/NLnetLabs/routinator/pull/1056     [#1057]: https://github.com/NLnetLabs/routinator/pull/1057     [#1060]: https://github.com/NLnetLabs/routinator/pull/1060     [#1061]: https://github.com/NLnetLabs/routinator/pull/1061     [rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342     [@kawaemon]: https://github.com/kawaemon     [mitmproxy]: https://www.mitmproxy.org/     [RFC9286]: https://tools.ietf.org/html/rfc9286     [CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt




Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-188f731254 advisory.

    Update `routinator` to the latest, pulling in updated dependencies (`rpki` and `syslog`), and switch     `fern` to using `syslog` 7 instead of 6 for this update, and loosen the `syslog` version bound for `ifcfg-     devname`.


    # v0.15.2     This release fixes a number of vulnerabilities and security issues identified by a security audit     performed by [X41 D-Sec] and financed by [Sovereign Tech Agency].

    **We advise all users to upgrade at their earliest convenience.**

    ## Security fixes

    * Changed how transient errors when accepting incoming HTTP and RTR connections are handled: instead of     exiting, a warning is printed and the error is ignored. ([#1099])

      This issue was assigned [CVE-2026-49232].

    * Extended the check for illegal path components in rsync URIs to also include the authority and module     parts. (via [rpki-rs#370])

      This fixes a path traversal vulnerability that has been assigned [CVE-2026-49233].

    * Fixed a panic when parsing certain AS numbers from strings. (via [rpki-rs#373])

      This fixes a vulnerability that has been assigned [CVE-2026-49234].

    * Upgraded quick-xml to at least 0.39.4 to fix a regression in XML parsing that may lead a panic on     certain crated XML files. (via [rpki-rs#372])

      This fixes a vulnerability that has been assigned [CVE-2026-49235].

    ## Improvements

    * Restricted trust anchor certificates downloaded via HTTP to the size given via the `max_object_size`     config option. ([#1090])
    * The `-e` and `--rsh` options will now be rejected in the `rsync-args` config option. Similarly,     Routinator will not start if the equivalent evironment variable `RSYNC_RSH` is set. ([#1091])

    ## Bug fixes

    * Set an RTR listener socket received via systemd to non-blocking. This fixes a panic in Tokio. ([#1081]     by [@MaxHearnden])
    * Fixed the `--rrdp-tcp-keepalive` to be a command line option rather than a command line argument.
    ([1085])

    ## Other changes

    * Support for Ubuntu Resolute Raccoon (26.04). ([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090     [#1091]: https://github.com/NLnetLabs/routinator/pull/1091     [#1081]: https://github.com/NLnetLabs/routinator/pull/1081     [#1085]: https://github.com/NLnetLabs/routinator/pull/1085     [#1095]: https://github.com/NLnetLabs/routinator/pull/1095     [@MaxHearnden]: https://github.com/MaxHearnden     [rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370     [rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372     [rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373     [CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt     [CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt     [CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt     [CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt     [X41 D-Sec]: https://www.x41-dsec.de/     [Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## Bug fixes

    * Abort the optimistic initial run if there are no stored TA certificates for a TAL instead of succeeding     with an empty data set. ([#1071])
    * Undo `PrivateUsers` restriction in systemd unit files to allow user to run Routinator on privileged     ports. ([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068     [#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## Breaking changes

    * Removed the `rrdp-keep-responses` feature. We suggest the use of an HTTP proxy such as [mitmproxy]     instead.

      This once and for all fixes [CVE-2023-39916] which returned again in release 0.14.0. ([#1055])
    * Messages about issues with repositories and publication points are now logged separately and by default     are only visible in the status HTTP server endpoints. The new `log-repository-issues` option can be used     to have these messages also written to the log. ([#1054])
    * Changed how server mode deals with broken or missing local exception files. Previously, Routinator would     just stop updating until they are fixed, leading to updates being stalled if the operator misses the error     messages. Now it will log a warning and keep using the previous set of local exceptions. When starting, it     will exit with an error message if there are broken or missing local exception files. ([#1060])
    * Changed the RRDP timeouts: introduced a new config variable `rrdp-read-timeout` that provides a timeout     for individual network operations (primarily: read from the server). Its default is 10 seconds. This     timeout is also used for connecting of no specific value is given, significantly speeding up validation     runs.

      In addition, the RRDP timeout was increased from 300 to 600 seconds to better deal with slow     transmission of large snapshots of some repositories. ([#1061])

    ## New

    * Added a quick initial run after starting the server which only uses stored data and aborts if any     required data hasnt been requested before to deal with configuration changes. This will shorten the     wait time for an initial data set when restarting Routinator. ([#1057])
    * Added support for SLURM v2 as output format which includes ASPA payload. ([#1021])
    * Changed refresh behaviour to better cope with short-lived objects. By default, Routinator will now wait     for the time defined by `refresh` even if objects expire earlier. The new `min-refresh` option can be used     to specify a short minimum refresh time if objects expire before the refresh time. If this value is set to     0, the old behaviour is restored. ([#1027])
    * The order in which manifest entries are processed is now randomized. ([#1041])
    * Reduced the overhead of storing RRDP snapshot downloads, significantly improving the snapshot update     times. ([#1035])
    * The `dump` command now prints the source directories of the data it dumps. ([#1045])
    * Added a `--update-after` option to the `vrps` subcommand that skips updating the local cache if the last     successful validation run was known to be less than a given number of minutes ago. ([#1049])
    * Error responses for API-related HTTP endpoints now contain JSON bodies. ([#1050])
    * The `/validity` HTTP server endpoint now accepts POST requests with a JSON body containing multiple     routes to be checked all at once. ([#1053])
    * Better protect against corrupted stored publication points by double checking cached manifest properties     against the actual manifest and discard the stored publication point if they mismatch.

      This fixes an issue where an accidentally or maliciously manipulated locally stored manifest could block     update of a legitimate new manifest which was reported by Zizhi Shang, Zhechao Lin, Jiahao Cao, Yangyang     Wang, Mingwei Xu of the Institute for Network Sciences and Cyberspace (INSC), Tsinghua University.

    ## Bug fixes

    * Fixed a crash if certain invalid character appear in a manifest file name by limiting the name to the     rules defined in [RFC9286]. This issue was reported by  Niklas Vogel of Goethe University Frankfurt and     ATHENE. ([rpki-rs#342])
    * Re-implemented RRDP client metrics based on the much simpler model used by RTRTR to fix recurring errors     in the metrics. ([#1039])
    * Changed the message logged when an RRDP update times out to actually say that. ([#1052])

    ## Other changes

    * Improved performance of file system operations on validate subcommand. ([#1043] by [@kawaemon])
    * Add package.homepage to Cargo.toml ([#1024])
    * Added building packages for RHEL 10 and Debian 13. ([#1034], [#1047])
    * Added building packages for ARMv6 and ARM64 for Debian Bookworm. ([#1036])
    * Added additional restrictions to the systemd unit files used in the various binary packages. ([#1056])
    * Upgrades various dependencies. ([#1004], [#1005], [#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004     [#1005]: https://github.com/NLnetLabs/routinator/pull/1005     [#1006]: https://github.com/NLnetLabs/routinator/pull/1006     [#1014]: https://github.com/NLnetLabs/routinator/pull/1014     [#1021]: https://github.com/NLnetLabs/routinator/pull/1021     [#1024]: https://github.com/NLnetLabs/routinator/pull/1024     [#1027]: https://github.com/NLnetLabs/routinator/pull/1027     [#1034]: https://github.com/NLnetLabs/routinator/pull/1034     [#1035]: https://github.com/NLnetLabs/routinator/pull/1035     [#1036]: https://github.com/NLnetLabs/routinator/pull/1036     [#1039]: https://github.com/NLnetLabs/routinator/pull/1039     [#1041]: https://github.com/NLnetLabs/routinator/pull/1041     [#1043]: https://github.com/NLnetLabs/routinator/pull/1043     [#1045]: https://github.com/NLnetLabs/routinator/pull/1045     [#1047]: https://github.com/NLnetLabs/routinator/pull/1047     [#1049]: https://github.com/NLnetLabs/routinator/pull/1049     [#1052]: https://github.com/NLnetLabs/routinator/pull/1052     [#1053]: https://github.com/NLnetLabs/routinator/pull/1053     [#1055]: https://github.com/NLnetLabs/routinator/pull/1055     [#1056]: https://github.com/NLnetLabs/routinator/pull/1056     [#1057]: https://github.com/NLnetLabs/routinator/pull/1057     [#1060]: https://github.com/NLnetLabs/routinator/pull/1060     [#1061]: https://github.com/NLnetLabs/routinator/pull/1061     [rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342     [@kawaemon]: https://github.com/kawaemon     [mitmproxy]: https://www.mitmproxy.org/     [RFC9286]: https://tools.ietf.org/html/rfc9286     [CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-659cb50390 advisory.

    Update `routinator` to the latest, pulling in updated dependencies (`rpki` and `syslog`), and switch     `fern` to using `syslog` 7 instead of 6 for this update, and loosen the `syslog` version bound for `ifcfg-     devname`.


    # v0.15.2     This release fixes a number of vulnerabilities and security issues identified by a security audit     performed by [X41 D-Sec] and financed by [Sovereign Tech Agency].

    **We advise all users to upgrade at their earliest convenience.**

    ## Security fixes

    * Changed how transient errors when accepting incoming HTTP and RTR connections are handled: instead of     exiting, a warning is printed and the error is ignored. ([#1099])

      This issue was assigned [CVE-2026-49232].

    * Extended the check for illegal path components in rsync URIs to also include the authority and module     parts. (via [rpki-rs#370])

      This fixes a path traversal vulnerability that has been assigned [CVE-2026-49233].

    * Fixed a panic when parsing certain AS numbers from strings. (via [rpki-rs#373])

      This fixes a vulnerability that has been assigned [CVE-2026-49234].

    * Upgraded quick-xml to at least 0.39.4 to fix a regression in XML parsing that may lead a panic on     certain crated XML files. (via [rpki-rs#372])

      This fixes a vulnerability that has been assigned [CVE-2026-49235].

    ## Improvements

    * Restricted trust anchor certificates downloaded via HTTP to the size given via the `max_object_size`     config option. ([#1090])
    * The `-e` and `--rsh` options will now be rejected in the `rsync-args` config option. Similarly,     Routinator will not start if the equivalent evironment variable `RSYNC_RSH` is set. ([#1091])

    ## Bug fixes

    * Set an RTR listener socket received via systemd to non-blocking. This fixes a panic in Tokio. ([#1081]     by [@MaxHearnden])
    * Fixed the `--rrdp-tcp-keepalive` to be a command line option rather than a command line argument.
    ([1085])

    ## Other changes

    * Support for Ubuntu Resolute Raccoon (26.04). ([#1095])

    [#1090]: https://github.com/NLnetLabs/routinator/pull/1090     [#1091]: https://github.com/NLnetLabs/routinator/pull/1091     [#1081]: https://github.com/NLnetLabs/routinator/pull/1081     [#1085]: https://github.com/NLnetLabs/routinator/pull/1085     [#1095]: https://github.com/NLnetLabs/routinator/pull/1095     [@MaxHearnden]: https://github.com/MaxHearnden     [rpki-rs#370]: https://github.com/NLnetLabs/rpki-rs/pull/370     [rpki-rs#372]: https://github.com/NLnetLabs/rpki-rs/pull/372     [rpki-rs#373]: https://github.com/NLnetLabs/rpki-rs/pull/373     [CVE-2026-49232]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49232.txt     [CVE-2026-49233]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49233.txt     [CVE-2026-49234]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49234.txt     [CVE-2026-49235]: https://nlnetlabs.nl/downloads/routinator/CVE-2026-49235.txt     [X41 D-Sec]: https://www.x41-dsec.de/     [Sovereign Tech Agency]: https://www.sovereign.tech/

    # v0.15.1

    ## Bug fixes

    * Abort the optimistic initial run if there are no stored TA certificates for a TAL instead of succeeding     with an empty data set. ([#1071])
    * Undo `PrivateUsers` restriction in systemd unit files to allow user to run Routinator on privileged     ports. ([#1068])

    [#1068]: https://github.com/NLnetLabs/routinator/pull/1068     [#1071]: https://github.com/NLnetLabs/routinator/pull/1071

    # v0.15.0

    ## Breaking changes

    * Removed the `rrdp-keep-responses` feature. We suggest the use of an HTTP proxy such as [mitmproxy]     instead.

      This once and for all fixes [CVE-2023-39916] which returned again in release 0.14.0. ([#1055])
    * Messages about issues with repositories and publication points are now logged separately and by default     are only visible in the status HTTP server endpoints. The new `log-repository-issues` option can be used     to have these messages also written to the log. ([#1054])
    * Changed how server mode deals with broken or missing local exception files. Previously, Routinator would     just stop updating until they are fixed, leading to updates being stalled if the operator misses the error     messages. Now it will log a warning and keep using the previous set of local exceptions. When starting, it     will exit with an error message if there are broken or missing local exception files. ([#1060])
    * Changed the RRDP timeouts: introduced a new config variable `rrdp-read-timeout` that provides a timeout     for individual network operations (primarily: read from the server). Its default is 10 seconds. This     timeout is also used for connecting of no specific value is given, significantly speeding up validation     runs.

      In addition, the RRDP timeout was increased from 300 to 600 seconds to better deal with slow     transmission of large snapshots of some repositories. ([#1061])

    ## New

    * Added a quick initial run after starting the server which only uses stored data and aborts if any     required data hasnt been requested before to deal with configuration changes. This will shorten the     wait time for an initial data set when restarting Routinator. ([#1057])
    * Added support for SLURM v2 as output format which includes ASPA payload. ([#1021])
    * Changed refresh behaviour to better cope with short-lived objects. By default, Routinator will now wait     for the time defined by `refresh` even if objects expire earlier. The new `min-refresh` option can be used     to specify a short minimum refresh time if objects expire before the refresh time. If this value is set to     0, the old behaviour is restored. ([#1027])
    * The order in which manifest entries are processed is now randomized. ([#1041])
    * Reduced the overhead of storing RRDP snapshot downloads, significantly improving the snapshot update     times. ([#1035])
    * The `dump` command now prints the source directories of the data it dumps. ([#1045])
    * Added a `--update-after` option to the `vrps` subcommand that skips updating the local cache if the last     successful validation run was known to be less than a given number of minutes ago. ([#1049])
    * Error responses for API-related HTTP endpoints now contain JSON bodies. ([#1050])
    * The `/validity` HTTP server endpoint now accepts POST requests with a JSON body containing multiple     routes to be checked all at once. ([#1053])
    * Better protect against corrupted stored publication points by double checking cached manifest properties     against the actual manifest and discard the stored publication point if they mismatch.

      This fixes an issue where an accidentally or maliciously manipulated locally stored manifest could block     update of a legitimate new manifest which was reported by Zizhi Shang, Zhechao Lin, Jiahao Cao, Yangyang     Wang, Mingwei Xu of the Institute for Network Sciences and Cyberspace (INSC), Tsinghua University.

    ## Bug fixes

    * Fixed a crash if certain invalid character appear in a manifest file name by limiting the name to the     rules defined in [RFC9286]. This issue was reported by  Niklas Vogel of Goethe University Frankfurt and     ATHENE. ([rpki-rs#342])
    * Re-implemented RRDP client metrics based on the much simpler model used by RTRTR to fix recurring errors     in the metrics. ([#1039])
    * Changed the message logged when an RRDP update times out to actually say that. ([#1052])

    ## Other changes

    * Improved performance of file system operations on validate subcommand. ([#1043] by [@kawaemon])
    * Add package.homepage to Cargo.toml ([#1024])
    * Added building packages for RHEL 10 and Debian 13. ([#1034], [#1047])
    * Added building packages for ARMv6 and ARM64 for Debian Bookworm. ([#1036])
    * Added additional restrictions to the systemd unit files used in the various binary packages. ([#1056])
    * Upgrades various dependencies. ([#1004], [#1005], [#1006])

    [#1004]: https://github.com/NLnetLabs/routinator/pull/1004     [#1005]: https://github.com/NLnetLabs/routinator/pull/1005     [#1006]: https://github.com/NLnetLabs/routinator/pull/1006     [#1014]: https://github.com/NLnetLabs/routinator/pull/1014     [#1021]: https://github.com/NLnetLabs/routinator/pull/1021     [#1024]: https://github.com/NLnetLabs/routinator/pull/1024     [#1027]: https://github.com/NLnetLabs/routinator/pull/1027     [#1034]: https://github.com/NLnetLabs/routinator/pull/1034     [#1035]: https://github.com/NLnetLabs/routinator/pull/1035     [#1036]: https://github.com/NLnetLabs/routinator/pull/1036     [#1039]: https://github.com/NLnetLabs/routinator/pull/1039     [#1041]: https://github.com/NLnetLabs/routinator/pull/1041     [#1043]: https://github.com/NLnetLabs/routinator/pull/1043     [#1045]: https://github.com/NLnetLabs/routinator/pull/1045     [#1047]: https://github.com/NLnetLabs/routinator/pull/1047     [#1049]: https://github.com/NLnetLabs/routinator/pull/1049     [#1052]: https://github.com/NLnetLabs/routinator/pull/1052     [#1053]: https://github.com/NLnetLabs/routinator/pull/1053     [#1055]: https://github.com/NLnetLabs/routinator/pull/1055     [#1056]: https://github.com/NLnetLabs/routinator/pull/1056     [#1057]: https://github.com/NLnetLabs/routinator/pull/1057     [#1060]: https://github.com/NLnetLabs/routinator/pull/1060     [#1061]: https://github.com/NLnetLabs/routinator/pull/1061     [rpki-rs#342]: https://github.com/NLnetLabs/rpki-rs/pull/342     [@kawaemon]: https://github.com/kawaemon     [mitmproxy]: https://www.mitmproxy.org/     [RFC9286]: https://tools.ietf.org/html/rfc9286     [CVE-2023-39916]: https://nlnetlabs.nl/downloads/routinator/CVE-2023-39916.txt




Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
328871	Fedora 44:rust-fern/rust-ifcfg-devname/rust-routinator/rust-rpki/etc(2026-ec9f1ca21a)	Nessus	Fedora Local Security Checks	7/21/2026	7/21/2026	high
328928	Fedora 43:rust-fern / rust-routinator / rust-rpki / rust-syslog(2026-659cb50390)	Nessus	Fedora Local Security Checks	7/22/2026	7/22/2026	high
181924	FreeBSD: routinator -- RRDP 応答を保存する際のパストラバーサルの可能性 (ea9d1fd2-5d24-11ee-8507-b42e991fc52e)	Nessus	FreeBSD Local Security Checks	9/27/2023	9/27/2023	medium
324989	Fedora 45:rust-fern/rust-ifcfg-devname/rust-routinator/rust-rpki/etc(2026-188f731254)	Nessus	Fedora Local Security Checks	7/3/2026	7/9/2026	high
181924	FreeBSD : routinator -- Possible path traversal when storing RRDP responses (ea9d1fd2-5d24-11ee-8507-b42e991fc52e)	Nessus	FreeBSD Local Security Checks	9/27/2023	9/27/2023	medium
328871	Fedora 44 : rust-fern / rust-ifcfg-devname / rust-routinator / rust-rpki / etc (2026-ec9f1ca21a)	Nessus	Fedora Local Security Checks	7/21/2026	7/21/2026	high
324989	Fedora 45 : rust-fern / rust-ifcfg-devname / rust-routinator / rust-rpki / etc (2026-188f731254)	Nessus	Fedora Local Security Checks	7/3/2026	7/9/2026	high
328928	Fedora 43 : rust-fern / rust-routinator / rust-rpki / rust-syslog (2026-659cb50390)	Nessus	Fedora Local Security Checks	7/22/2026	7/22/2026	high

Detections

Analytics

Plugins Search

high

high

medium

high

medium

high

high

high