There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - mchange-commons-java is a Java library of shared utility classes used by mchange projects like the c3p0
    connection pool. Prior to version 0.6.0, its JNDI ObjectFactory implementation
    (com.mchange.v2.naming.JavaBeanObjectFactory) will construct objects of arbitrary classes and initialize
    "JavaBean"-style properties, which for certain classes enables JNDI injection and "deserialization
    gadgets." Such initialization is unsafe for some classes: for example, setting the contentType property of
    a Swing JEditorPane to text/html and its text property to HTML containing a stylesheet <link> will provoke
    an HTTP GET on an arbitrary URL, potentially from within a trusted security domain. The problem is
    aggravated by the library's ReferenceIndirector, through which malicious JNDI Reference objects can be
    smuggled in for dereferencing wherever an application reads a Java-serialized object. This has been
    resolved in version 0.6.0. (CVE-2026-55153)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mchange-commons-java 是 mchange 项目（例如 c3p0 连接池）使用的共享实用工具类的 Java 库。在版本 0.6.0之前，其 JNDI ObjectFactory 实现 （com.mchange.v2.naming.JavaBeanObjectFactory） 将构造任意类的对象并初始化 JavaBean 样式属性，从而在某些类启用 JNDI 注入和反序列化小工具。此类初始化对某些类是不安全的：例如，将 Swing JEditorPane 的 contentType 属性设置为 text/html，并将其 text 属性设置为包含样式表 <link> 的 HTML，将在任意 URL 上引发 HTTP GET，这可能在受信任的安全域中。库的 ReferenceIndirector 使问题恶化，只要应用程序在何处读取 Java 序列化对象，便可通过该库的 ReferenceIndirector 走私恶意 JNDI 引用对象进行取消引用。此问题已在版本 0.6.0中得到解决。（CVE-2026-55153）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS 主機上安裝的一個套件受到 USN-8642-1 公告中所提及的多個弱點影響。

    據發現，c3p0 容易透過惡意製作的序列化物件和 JNDI 參照進行遠端程式碼執行。攻擊者可以利用它來執行任意程式碼、繞過安全性限制或造成拒絕服務。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - mchange-commons-java 是 mchange 專案 （如 c3p0 連線集區） 所使用的共用公用程式類別的 Java 程式庫。在版本 0.6.0之前，其 JNDI ObjectFactory 實作 （com.mchange.v2.naming.JavaBeanObjectFactory） 將建構任意類別的物件並初始化 JavaBean 樣式的屬性，對於某些類別，這會啟用 JNDI 注入和反序列化小工具。此類初始化對於某些類別來說是不安全的：例如，將 Swing JEditorPane 的 contentType 屬性設定為 text/html，並將其 text 屬性設定為包含樣式表 <link> 的 HTML，將在任意 URL 上引發 HTTP GET，可能來自受信任的安全網域內。程式庫的 ReferenceIndirector 加劇了這個問題，透過該指令，惡意 JNDI 參照物件可以走私到應用程式讀取 Java 序列化物件的任何地方進行取消參照。此問題已在 版本 0.6.0中解決。（CVE-2026-55153）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS 主机上安装的一个程序包受到 USN-8642-1 公告中提及的多个漏洞影响。

    已发现 c3p0 容易受到通过恶意构建的序列化对象和 JNDI 引用造成的远程代码执行的影响。攻击者可利用此问题执行任意代码、绕过安全限制或造成拒绝服务。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mchange-commons-java は、c3p0 接続プールなどの mchange プロジェクトによって使用される共有ユーティリティクラスのJavaライブラリです。バージョン 0.6.0より前では、JNDI ObjectFactory実装(com.mchange.v2.naming.JavaBeanObjectFactory)は、任意のクラスのオブジェクトを構築し、JavaBeanスタイルのプロパティを初期化します。これにより、特定のクラスではJNDIインジェクションと逆シリアル化ガジェットが可能になります。このような初期化は、一部のクラスにとって安全ではありません:たとえば、Swing JEditorPane の contentType プロパティを text/html に、またその text プロパティをスタイルシート <link> を含む HTML に設定すると、任意の URL で、信頼できるセキュリティドメイン内から HTTP GET が誘発される可能性があります。この問題はライブラリの ReferenceIndirector によって悪化し、アプリケーションが Java シリアル化されたオブジェクトを読み取る場所ならどこでも、悪意のある JNDI リファレンスオブジェクトが逆参照のためにスマグリングされる可能性があります。これはバージョン 0.6.0 で解決されました。(CVE-2026-55153)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには USN-8642-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    c3p0 は、悪意を持って細工されたシリアル化済みオブジェクトおよび JNDI 参照を介したリモートコードの実行に対して脆弱であることが判明しました。攻撃者がこれを悪用して、任意のコードを実行したり、セキュリティ制限をバイパスしたり、サービス拒否を引き起こしたりする可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-8642-1 advisory.

    It was discovered that c3p0 was vulnerable to remote code execution via maliciously crafted serialized     objects and JNDI references. An attacker could use this to execute arbitrary code, bypass security     restrictions, or cause a denial of service.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - mchange-commons-java is a Java library of shared utility classes used by mchange projects like the c3p0     connection pool. Prior to version 0.6.0, its JNDI ObjectFactory implementation     (com.mchange.v2.naming.JavaBeanObjectFactory) will construct objects of arbitrary classes and initialize     JavaBean-style properties, which for certain classes enables JNDI injection and deserialization     gadgets. Such initialization is unsafe for some classes: for example, setting the contentType property of     a Swing JEditorPane to text/html and its text property to HTML containing a stylesheet <link> will provoke     an HTTP GET on an arbitrary URL, potentially from within a trusted security domain. The problem is     aggravated by the library's ReferenceIndirector, through which malicious JNDI Reference objects can be     smuggled in for dereferencing wherever an application reads a Java-serialized object. This has been     resolved in version 0.6.0. (CVE-2026-55153)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
445982	SCA: security update for com.mchange:mchange-commons-java (GHSA-h84g-69h7-mw6v)	Tenable Self-Hosted Container Security	SCA Checks	8/15/2026	8/15/2026	high
445982	SCA: security update for com.mchange:mchange-commons-java (GHSA-h84g-69h7-mw6v)	Tenable Cloud Security	SCA Checks	8/15/2026	8/15/2026	high
324914	Linux Distros 未修补的漏洞：CVE-2026-55153	Nessus	Misc.	7/2/2026	8/24/2026	high
365425	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / LTS ： 26.04 c3p0 漏洞（USN-8642-1）	Nessus	Ubuntu Local Security Checks	10/13/2026	10/13/2026	high
324914	Linux Distros 未修補弱點：CVE-2026-55153	Nessus	Misc.	7/2/2026	8/24/2026	high
365425	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS：c3p0 漏洞（USN-8642-1）	Nessus	Ubuntu Local Security Checks	10/13/2026	10/13/2026	high
324914	Linux Distros のパッチ未適用の脆弱性: CVE-2026-55153	Nessus	Misc.	7/2/2026	8/24/2026	high
365425	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS:c3p0 の脆弱性(USN-8642-1)	Nessus	Ubuntu Local Security Checks	10/13/2026	10/13/2026	high
365425	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS : c3p0 vulnerabilities (USN-8642-1)	Nessus	Ubuntu Local Security Checks	10/13/2026	10/13/2026	high
324914	Linux Distros Unpatched Vulnerability : CVE-2026-55153	Nessus	Misc.	7/2/2026	8/24/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high