There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - MessagePack for Java is a serializer implementation for Java. A denial-of-service vulnerability exists in
    versions prior to 0.9.11 when deserializing .msgpack files containing EXT32 objects with attacker-
    controlled payload lengths. While MessagePack-Java parses extension headers lazily, it later trusts the
    declared EXT payload length when materializing the extension data. When ExtensionValue.getData() is
    invoked, the library attempts to allocate a byte array of the declared length without enforcing any upper
    bound. A malicious .msgpack file of only a few bytes can therefore trigger unbounded heap allocation,
    resulting in JVM heap exhaustion, process termination, or service unavailability. This vulnerability is
    triggered during model loading / deserialization, making it a model format vulnerability suitable for
    remote exploitation. The vulnerability enables a remote denial-of-service attack against applications that
    deserialize untrusted .msgpack model files using MessagePack for Java. A specially crafted but
    syntactically valid .msgpack file containing an EXT32 object with an attacker-controlled, excessively
    large payload length can trigger unbounded memory allocation during deserialization. When the model file
    is loaded, the library trusts the declared length metadata and attempts to allocate a byte array of that
    size, leading to rapid heap exhaustion, excessive garbage collection, or immediate JVM termination with an
    OutOfMemoryError. The attack requires no malformed bytes, user interaction, or elevated privileges and can
    be exploited remotely in real-world environments such as model registries, inference services, CI/CD
    pipelines, and cloud-based model hosting platforms that accept or fetch .msgpack artifacts. Because the
    malicious file is extremely small yet valid, it can bypass basic validation and scanning mechanisms,
    resulting in complete service unavailability and potential cascading failures in production systems.
    Version 0.9.11 fixes the vulnerability. (CVE-2026-21452)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MessagePack for Java 是 Java 的序列化程序实现。反序列化包含 EXT32 对象的 .msgpack 文件时 0.9.11 之前的版本中存在一个拒绝服务漏洞。虽然 MessagePack-Java 延迟解析扩展标头但它随后会在具体化扩展数据时信任声明的 EXT 负载长度。调用 ExtensionValue.getData() 时库尝试在未强制执行任何上限的情况下分配声明长度的字节数组。因此只有几个字节的恶意 .msgpack 文件可以触发不受限制的堆分配从而导致 JVM 堆耗尽、进程终止或服务不可用。此漏洞在模型加载/反序列化期间触发，是适合远程利用的模型格式漏洞。此漏洞可针对使用 MessagePack for Java 反序列化不受信任的 .msgpack 模型文件的应用程序发动远程拒绝服务攻击。包含 EXT32 对象且负载长度由攻击者控制的过大的特别构建但在语法上有效的 .msgpack 文件可在反序列化期间触发无限内存分配。加载模型文件时库会信任声明长度的元数据并尝试分配该大小的字节数组从而导致堆快速耗尽、垃圾回收过多或 JVM 因 OutOfMemoryError 立即终止。攻击不需要畸形字节、用户交互或提升的权限且可在实际环境中被远程利用例如模型注册表、推理服务、CI/CD 管道以及接受或提取 .msgpack 构件的基于云的模型托管平台。由于该恶意文件虽然微小但有效因此可绕过基本的验证和扫描机制进而导致生产系统中服务完全不可用并可能造成级联故障。
     0.9.11 版本修复了此漏洞。 (CVE-2026-21452)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - MessagePack for Java 是 Java 的 serializer 實作。 0.9.11 之前的版本在還原序列化含有 EXT32 物件的 .msgpack 檔案具有攻擊者控制的承載長度時存在一個拒絕服務弱點。當 MessagePack-Java 以消極方式剖析延伸模組標頭時它稍後會在具體化延伸模組資料時信任宣告的 EXT 承載長度。叫用 ExtensionValue.getData() 時程式庫會嘗試在不強制執行任何上限的情況下配置宣告長度的位元組陣列。只有幾個位元組的惡意 .msgpack 檔案因此可觸發無限制堆積配置進而導致 JVM 堆積耗盡、處理程序終止或服務不可用。此弱點會在模型載入/還原序列化期間觸發使其成為適合遠端惡意利用的模型格式弱點。此弱點會針對使用 MessagePack for Java 將未受信任的 .msgpack 模型檔案還原序列化的應用程式造成遠端拒絕服務攻擊。含有 EXT32 物件且承載長度受攻擊者控制的過大承載長度的特製但語法有效的 .msgpack 檔案可在還原序列化期間觸發無限制記憶體配置。載入模型檔案時程式庫會信任宣告的長度詮釋資料並嘗試配置該大小的位元組陣列這會導致快速堆積耗盡、過度記憶體回收或 JVM 立即終止並發生 OutOfMemoryError。此攻擊不需要格式錯誤的位元組、使用者互動或提升的權限也可在真實環境中遭到遠端惡意利用例如模型登錄檔、推斷服務、CI/CD 管線以及接受或擷取 .msgpack 成品的雲端型模型託管平台。由於惡意檔案非常小而且有效因此可以繞過基本驗證和掃描機制導致服務完全不可用且生產系統中可能發生級聯失敗。
     0.9.11 版可修正此弱點。 (CVE-2026-21452)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MessagePack for Java は、Java 用のシリアライザー実装です。攻撃者が制御するペイロード長を持つオブジェクトを含む.msgpackファイルを逆シリアル化するとき、 EXT320.9.11 より前のバージョンにサービス拒否の脆弱性があります。MessagePack-Java は拡張ヘッダーを遅延して解析しますが、後に拡張データを具体化する際に、宣言された EXT ペイロード長を信頼します。ExtensionValue.getData() が呼び出されると、ライブラリは上限を強制することなく、宣言された長さのバイト配列を割り当てようとします。したがって、悪意のある .msgpack ファイルが、無制限のヒープ割り当てを発生させ、JVM ヒープの枯渇、プロセスの終了、またはサービスの利用不能を引き起こす可能性があります。この脆弱性は、モデルのロード/逆シリアル化中にトリガーされるため、リモート悪用に適したモデル形式の脆弱性となっています。この脆弱性により、MessagePack for Java を使用して信頼できない .msgpack モデルファイルを逆シリアル化するアプリケーションに対するリモートのサービス拒否攻撃が可能になります。攻撃者が制御する過度に長いペイロード長の EXT32 オブジェクトを含む、特別に細工されているが構文的に有効な .msgpack ファイルにより、逆シリアル化中に無制限のメモリ割り当てが発生する可能性があります。モデルファイルがロードされているとき、ライブラリは宣言された長さのメタデータを信頼し、そのサイズのバイト配列を割り当てようとします。これにより、ヒープの枯渇、過剰なガベージコレクション、またはOutOfMemoryErrorによるJVMの即座の終了につながる可能性があります。この攻撃には無効な形式のバイト、ユーザーの関与、昇格された権限は必要なく、モデルレジストリ、推論サービス、CI/CD パイプライン、.msgpack アーティファクトを受け入れまたはフェッチするクラウドベースのモデルホスティングプラットフォームなどの実際の環境で、リモートで悪用できます。 。悪意のあるファイルは非常に小さいが有効であるため、基本的な検証およびスキャンメカニズムをバイパスする可能性があります。その結果、サービスが完全に利用できなくなり、本番システムで連鎖的に障害が発生する可能性があります。
    バージョン 0.9.11 はこの脆弱性を修正します。CVE-2026-21452

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - MessagePack for Java is a serializer implementation for Java. A denial-of-service vulnerability exists in     versions prior to 0.9.11 when deserializing .msgpack files containing EXT32 objects with attacker-     controlled payload lengths. While MessagePack-Java parses extension headers lazily, it later trusts the     declared EXT payload length when materializing the extension data. When ExtensionValue.getData() is     invoked, the library attempts to allocate a byte array of the declared length without enforcing any upper     bound. A malicious .msgpack file of only a few bytes can therefore trigger unbounded heap allocation,     resulting in JVM heap exhaustion, process termination, or service unavailability. This vulnerability is     triggered during model loading / deserialization, making it a model format vulnerability suitable for     remote exploitation. The vulnerability enables a remote denial-of-service attack against applications that     deserialize untrusted .msgpack model files using MessagePack for Java. A specially crafted but     syntactically valid .msgpack file containing an EXT32 object with an attacker-controlled, excessively     large payload length can trigger unbounded memory allocation during deserialization. When the model file     is loaded, the library trusts the declared length metadata and attempts to allocate a byte array of that     size, leading to rapid heap exhaustion, excessive garbage collection, or immediate JVM termination with an     OutOfMemoryError. The attack requires no malformed bytes, user interaction, or elevated privileges and can     be exploited remotely in real-world environments such as model registries, inference services, CI/CD     pipelines, and cloud-based model hosting platforms that accept or fetch .msgpack artifacts. Because the     malicious file is extremely small yet valid, it can bypass basic validation and scanning mechanisms,     resulting in complete service unavailability and potential cascading failures in production systems.
    Version 0.9.11 fixes the vulnerability. (CVE-2026-21452)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
436569	SCA: security update for org.msgpack:msgpack-core (GHSA-cw39-r4h6-8j3x)	Tenable Self-Hosted Container Security	SCA Checks	1/5/2026	7/2/2026	high
436569	SCA: security update for org.msgpack:msgpack-core (GHSA-cw39-r4h6-8j3x)	Tenable Cloud Security	SCA Checks	1/5/2026	7/2/2026	high
281625	Linux Distros 未修补的漏洞：CVE-2026-21452	Nessus	Misc.	1/3/2026	9/2/2026	high
281625	Linux Distros 未修補的弱點：CVE-2026-21452	Nessus	Misc.	1/3/2026	9/2/2026	high
281625	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21452	Nessus	Misc.	1/3/2026	9/2/2026	high
281625	Linux Distros Unpatched Vulnerability : CVE-2026-21452	Nessus	Misc.	1/3/2026	9/2/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high