There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - iCalendar is a Ruby library for dealing with iCalendar files in the iCalendar format defined by RFC-5545.
    Starting in version 2.0.0 and prior to version 2.12.2, .ics serialization does not properly sanitize URI
    property values, enabling ICS injection through attacker-controlled input, adding arbitrary calendar lines
    to the output. `Icalendar::Values::Uri` falls back to the raw input string when `URI.parse` fails and
    later serializes it with `value.to_s` without removing or escaping `\r` or `\n` characters. That value is
    embedded directly into the final ICS line by the normal serializer, so a payload containing CRLF can
    terminate the original property and create a new ICS property or component. (It looks like you can inject
    via url, source, image, organizer, attach, attendee, conference, tzurl because of this). Applications that
    generate `.ics` files from partially untrusted metadata are impacted. As a result, downstream calendar
    clients or importers may process attacker-supplied content as if it were legitimate event data, such as
    added attendees, modified URLs, alarms, or other calendar fields. Version 2.12.2 contains a patch for the
    issue. (CVE-2026-33635)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - iCalendar 是一个 Ruby 库用于处理 RFC-5545 定义的 iCalendar 格式的 iCalendar 文件。
    从版本 2.0.0 到低于 2.12.2的版本 .ics 序列化无法正确审查 URI 属性值从而通过攻击者控制的输入启用 ICS 注入以及在输出中添加任意日历行。当“URI.parse”失败并在之后使用“value.to_s”将其序列化时“Icalendar::Values::Uri”会回退到原始输入字符串而不会删除或转义“\r”或“\n”字符。普通序列化程序将该值直接嵌入到最终的 ICS 行中，因此包含 CRLF 的负载可以终止原始属性并创建新的 ICS 属性或组件。（因此您似乎可以通过 url、source、image、organizer、attach、 Attendee、conference、tzurl 注入）。从部分不受信任的元数据生成“.ics”文件的应用程序会受到影响。因此下游日历客户端或导入器可能会像处理合法事件数据一样处理攻击者提供的内容例如添加的参加者、修改的 URL、警报或其他日历字段。2.12.2 版本包含针对该问题的补丁。(CVE-2026-33635)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - iCalendar 是 Ruby 程式庫用於處理 RFC-5545 所定義之 iCalendar 格式的 iCalendar 檔案。
    從 2.0.0 版及 2.12.2版之前的版本開始.ics 序列化未正確清理 URI 內容值進而透過受攻擊者控制的輸入進行 ICS 插入將任意行事歷行新增至輸出。當 `URI.parse` 失敗時`Icalendar::Values::Uri` 會回復為原始輸入字串稍後以 `value.to_s` 對其進行序列化而不會移除或逸出 `\r` 或 `\n` 字元。正常序列化程式會將該值直接內嵌到最終的 ICS 行中因此含有 CRLF 的承載可以終止原始內容並建立新的 ICS 內容或元件。(因此您似乎可以透過 url、來源、影像、管理器、附件、出席者、會議、tzurl 插入)。從部分不受信任的詮釋資料產生「.ics」檔案的應用程式會受到影響。因此下游行事歷用戶端或匯入者可將攻擊者提供的內容視為合法事件資料處理例如新增的出席者、修改的 URL、警示或其他行事歷欄位。2.12.2 版包含針對該問題的修補程式。(CVE-2026-33635)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - iCalendar は、RFC-5545 で定義された iCalendar 形式の iCalendar ファイルを処理するための Ruby ライブラリです。
    バージョン 2.0.02.12.2およびより前のバージョン から、.ics シリアル化は URI プロパティ値を適切にサニタイズしないため、攻撃者が制御する入力を通じた ICS インジェクションが可能になり、任意のカレンダーラインが出力に追加されます。 「Icalendar::Values::Uri」は、「URI.parse」が失敗し、その後に「\r」または「\n」の文字を削除またはエスケープせずに「value.to_s」でシリアル化します。その値は、通常のシリアライザーによって最後の ICS 行に直接埋め込まれるため、CRLF が含まれているペイロードは、元のプロパティを終了させ、新しい ICS プロパティまたはコンポーネントを作成することができます。このため、URL、ソース、画像、主催者、添付、参加者、会議、tzurl を介して注入できるようです。部分的に信頼できないメタデータから「.ics」ファイルを生成するアプリケーションが影響を受けます。その結果、ダウンストリームのカレンダークライアントまたはインポーターが、追加された出席者、変更された URL、アラーム、その他のカレンダーフィールドなどの正当なイベントデータであるかのように、攻撃者指定のコンテンツを処理する可能性があります。バージョン 2.12.2 には、この問題に対するパッチが含まれています。(CVE-2026-33635)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - iCalendar is a Ruby library for dealing with iCalendar files in the iCalendar format defined by RFC-5545.
    Starting in version 2.0.0 and prior to version 2.12.2, .ics serialization does not properly sanitize URI     property values, enabling ICS injection through attacker-controlled input, adding arbitrary calendar lines     to the output. `Icalendar::Values::Uri` falls back to the raw input string when `URI.parse` fails and     later serializes it with `value.to_s` without removing or escaping `\r` or `\n` characters. That value is     embedded directly into the final ICS line by the normal serializer, so a payload containing CRLF can     terminate the original property and create a new ICS property or component. (It looks like you can inject     via url, source, image, organizer, attach, attendee, conference, tzurl because of this). Applications that     generate `.ics` files from partially untrusted metadata are impacted. As a result, downstream calendar     clients or importers may process attacker-supplied content as if it were legitimate event data, such as     added attendees, modified URLs, alarms, or other calendar fields. Version 2.12.2 contains a patch for the     issue. (CVE-2026-33635)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
439177	SCA: security update for icalendar (GHSA-pv9c-9mfh-hvxq)	Tenable Self-Hosted Container Security	SCA Checks	3/25/2026	7/2/2026	medium
439177	SCA: security update for icalendar (GHSA-pv9c-9mfh-hvxq)	Tenable Cloud Security	SCA Checks	3/25/2026	7/2/2026	medium
304171	Linux Distros 未修补的漏洞：CVE-2026-33635	Nessus	Misc.	3/28/2026	9/2/2026	medium
304171	Linux Distros 未修補的弱點：CVE-2026-33635	Nessus	Misc.	3/28/2026	9/2/2026	medium
304171	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33635	Nessus	Misc.	3/28/2026	9/2/2026	medium
304171	Linux Distros Unpatched Vulnerability : CVE-2026-33635	Nessus	Misc.	3/28/2026	9/2/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium