There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 1.0.2.7 (1.0.X series), 2.0.2 (2.0.X series) and
    2.1.3 (2.1.X series), sensitive key material held by the AES and DESede engines, the SP 800-90A DRBGs,
    SymmetricSecretKey and the PBKD and scrypt parameter classes was zeroised on garbage collection by
    overriding Object.finalize. Finalization runs at an unspecified time and in an unspecified order and is
    serviced by a single finalizer thread, so where objects carrying a finalizer are allocated faster than
    that thread retires them the pending-finalization queue grows without bound: disposal falls arbitrarily
    far behind, which can contribute to an OutOfMemoryError under load, and the key material those objects
    hold stays resident in the heap for as long as they are queued, defeating the purpose of the zeroisation.
    The behaviour was not a problem on Java 8 or Java 11; it is later JVMs, on which finalization has been
    deprecated and progressively de-emphasised, where it becomes one. Disposal of these classes now runs from
    a java.lang.ref.Cleaner registered in the multi-release jdk1.9 overlay, so on Java 9 and later it no
    longer depends on the finalizer being scheduled. Bouncy Castle for Java (bcprov) and Bouncy Castle for
    Java LTS are not affected, as neither implements the finalizer-based zeroisation scheme. (CVE-2026-13505)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 bc-fips 1.0.2.7 （1.0.X 系列）、 （2.0.X 系列） 2.0.2 和 2.1.3 （2.1.X 系列） 之前的 Bouncy Castle for Java FIPS （BC-FJA） 中，AES 和 DESede 引擎、SP 800-90A DRBG、SymmetricSecretKey 以及 PBKD 和 scrypt 參數類別所持有的敏感金鑰資料透過覆寫 Object.finalize 在記憶體回收上歸零。終結會在未指定的時間以未指定的順序執行，並由單一終結器執行緒提供服務，因此如果攜帶終結器的物件配置速度比該執行緒淘汰它們的速度更快，則擱置終結佇列會無限制地成長：處置任意遠遠落後，這可能會導致負載下的 OutOfMemoryError，而這些物件所保留的關鍵資料只要排入佇列，就會常駐在堆積中， 違背了歸零的目的。
    此行為在 Java 8 或 Java 11 上不是問題;它是後來的 JVM，在這些 JVM 上，最終確定已被棄用並逐漸不強調，然後成為一個。這些類別的處置現在會從在多版本 jdk1.9 覆蓋中註冊的 java.lang.ref.Cleaner 執行，因此在 Java 9 和更新版本上，它不再依賴於排程的終結器。Bouncy Castle for Java （bcprov） 和 Bouncy Castle for Java LTS 不受影響，因為兩者都未實作以終結器為基礎的歸零配置。（CVE-2026-13505）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 bc-fips 1.0.2.7 （1.0.X系列）、 2.0.2 （2.0.X系列）和2.1.32.1.X（系列）的 Bouncy Castle for Java FIPS （BC-FJA） 中，通过覆盖 Object.finalize 在垃圾回收中，AES 和 DESede 引擎、SP 800-90A DRBG、SymmetricSecretKey 以及 PBKD 和 scrypt 参数类所持有的敏感密钥材料已归零。终结在未指定的时间和未指定的顺序运行，并由单个终结器线程提供服务，因此，如果携带终结器的对象的分配速度快于该线程将其停用的速度，则待定终结队列会无限增长：处置任意远远落后，这可能导致加载时出现 OutOfMemoryError，并且这些对象持有的密钥材料只要它们排队，就会驻留在堆中， 违背了归零的目的。
    此行为在 Java 8 或 Java 11 上不是问题;是后来的 JVM，在 JVM 上，终结已被弃用并逐渐不再强调，然后成为一个。现在通过多版本 jdk1.9 叠加中注册的 java.lang.ref.Cleaner 运行这些类的处置，因此在 Java 9 及更高版本中不再依赖于正在计划的终结器。Bouncy Castle for Java （bcprov） 和 Bouncy Castle for Java LTS 不受影响，两者都未实现基于终结器的归零方案。（CVE-2026-13505）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - bc-fips 1.0.2.7 (1.0.X シリーズ)、 2.0.2 (2.0.X シリーズ)、および 2.1.3 (2.1.X シリーズ)より前の Java FIPS(BC-FJA)用の Bouncy Castle では、AES および DESede エンジン、SP 800-90A DRBG、SymmetricSecretKey、PBKD および scrypt パラメータークラスが保持する機密キーマテリアルが、Object.finalize をオーバーライドすることにより、ガベージコレクションでゼロ化されました。ファイナライゼーションは、指定された時間と未特定の順序で実行され、単一のファイナライザスレッドによって処理されるため、ファイナライザを持つオブジェクトがそのスレッドよりも早く割り当てられた場合、終了待ちキューは制限なく増加します。廃棄は任意の大幅に遅れをとって、負荷がかかっているときのOutOfMemoryErrorの原因となる可能性があり、それらのオブジェクトが保持するキーマテリアルはキューに登録されている限りヒープに常駐します。 ゼロ化の目的を打ち負かします。
    この動作は、Java 8 または Java 11 では問題ではありませんでした。ファイナライゼーションが非推奨になり、徐々に強調されなくなったのは後の JVM であり、そこで 1 つになります。これらのクラスの廃棄は、複数リリースの jdk1.9 オーバーレイに登録された java.lang.ref.Cleaner から実行されるようになりました。そのため、Java 9 以降では、スケジュールされているファイナライザーに依存しなくなります。Bouncy Castle for Java(bcprov)およびBouncy Castle for Java LTSはどちらもファイナライザベースのゼロ化スキームを実装していないため、影響を受けません。(CVE-2026-13505)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 1.0.2.7 (1.0.X series), 2.0.2 (2.0.X series) and     2.1.3 (2.1.X series), sensitive key material held by the AES and DESede engines, the SP 800-90A DRBGs,     SymmetricSecretKey and the PBKD and scrypt parameter classes was zeroised on garbage collection by     overriding Object.finalize. Finalization runs at an unspecified time and in an unspecified order and is     serviced by a single finalizer thread, so where objects carrying a finalizer are allocated faster than     that thread retires them the pending-finalization queue grows without bound: disposal falls arbitrarily     far behind, which can contribute to an OutOfMemoryError under load, and the key material those objects     hold stays resident in the heap for as long as they are queued, defeating the purpose of the zeroisation.
    The behaviour was not a problem on Java 8 or Java 11; it is later JVMs, on which finalization has been     deprecated and progressively de-emphasised, where it becomes one. Disposal of these classes now runs from     a java.lang.ref.Cleaner registered in the multi-release jdk1.9 overlay, so on Java 9 and later it no     longer depends on the finalizer being scheduled. Bouncy Castle for Java (bcprov) and Bouncy Castle for     Java LTS are not affected, as neither implements the finalizer-based zeroisation scheme. (CVE-2026-13505)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
462931	Echo: org.bouncycastle:bc-fips: security update to 1.0.2.7	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	high
462931	Echo: org.bouncycastle:bc-fips: security update to 1.0.2.7	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	high
334712	Linux Distros 未修補弱點：CVE-2026-13505	Nessus	Misc.	8/12/2026	8/12/2026	high
334712	Linux Distros 未修补的漏洞：CVE-2026-13505	Nessus	Misc.	8/12/2026	8/12/2026	high
334712	Linux Distros のパッチ未適用の脆弱性: CVE-2026-13505	Nessus	Misc.	8/12/2026	8/12/2026	high
334712	Linux Distros Unpatched Vulnerability : CVE-2026-13505	Nessus	Misc.	8/12/2026	8/12/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high