Skip to content
OpenAdvisories
High WID-SEC-2026-3883 6 CVEs

Red Hat Enterprise Linux (goose, environment-modules, tornado): Mehrere Schwachstellen

Published Oct 12, 2026 · Updated Nov 11, 2026 · Revision 17 · de

Vendor: amazon Vendor: Oracle Vendor: Red Hat Vendor: RESF Vendor: SUSE Vendor: Ubuntu Product: Enterprise Linux Product: Linux Product: Linux Product: Linux 2 Product: openSUSE Product: Rocky Linux Platform: Linux

Summary

Ein Angreifer kann mehrere Schwachstellen in Red Hat Enterprise Linux ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, beliebigen Code auszuführen oder Denial-of-Service-Zustände herbeizuführen.

Product

Red Hat Enterprise Linux (RHEL) ist eine populäre Linux-Distribution.

Vulnerabilities 6

  • High 8.2
    CVE-2026-63127

    RMCP: Missing Resource Field Validation in OAuth Protected Resource Metadata Discovery

    RMCP is an official Rust SDK for the Model Context Protocol. Prior to 2.0.0, the rmcp crate's OAuth implementation in crates/rmcp/src/transport/auth.rs omits the RFC 9728 resource field from ResourceServerMetadata and allows discover_oauth_server_via_resource…

    Model Context Protocol rust-sdk rmcp crates.io
  • High 7.5
    CVE-2026-103262

    Tornado before 6.5.9 Denial of Service via CurlAsyncHTTPClient

    Tornado versions before 6.5.9 contain an unbounded memory accumulation vulnerability in CurlAsyncHTTPClient that allows remote attackers to cause denial of service by sending a compressed response. Attackers can send a gzip-encoded decompression bomb that acc…

    tornadoweb tornado python-tornado python-tornado Debian Ubuntu Azure Linux PyPI
  • High 7.5
    CVE-2026-63128

    RMCP: Unauthenticated permanent session-table leak in rmcp Streamable HTTP server transport leads to remote denial-of-service

    RMCP is an official Rust SDK for the Model Context Protocol. Prior to 2.0.0, the rmcp crate's stateful Streamable HTTP server in crates/rmcp/src/transport/streamable_http_server/tower.rs allows an unauthenticated client to send a well-formed JSON-RPC POST tha…

    Model Context Protocol rust-sdk rmcp crates.io
  • High 7.5
    CVE-2026-93599

    rustls-webpki before 0.103.13 Panic via empty BIT STRING

    rustls-webpki through 0.103.12 (and 0.104.0-alpha releases before 0.104.0-alpha.7) contains a reachable panic in bit_string_flags() in src/der.rs. The input guard fails to reject a named-bit BIT STRING whose content is exactly [0x00] (zero padding bits and no…

    rustls webpki rust kata-containers-cc Debian Ubuntu Azure Linux crates.io
  • High 7.3
    CVE-2026-85013

    Environment-modules: command injection in environment-modules bash completion via malicious module names containing shell metacharacters

    A flaw was found in environment-modules. A local attacker can exploit this vulnerability by placing a maliciously named modulefile in a location visible to the victim's `MODULEPATH`. When the victim uses Bash completion for `module` or `ml` commands, the mali…

    Red Hat Red Hat Enterprise Linux 9 Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 7 Linux Debian Ubuntu Azure Linux
  • High 7.0
    CVE-2026-72718

    goose: Arbitrary command execution in goose CLI via `goose review` via git core.fsmonitor

    goose is general-purpose AI agent that runs on your machine. Prior to 1.44.0, the `goose review` command runs the system `git` executable to gather the diff for review without stripping attacker-controlled Git configuration. A malicious repository whose `.git…

    aaif-goose goose

Revision history

  1. #17

    Neue Updates von Red Hat und Rocky Enterprise Software Foundation aufgenommen

  2. #16

    Neue Updates von Red Hat und Ubuntu aufgenommen

  3. #15

    Neue Updates von Ubuntu aufgenommen

  4. #14

    Neue Updates von Red Hat aufgenommen

  5. #13

    Neue Updates von Red Hat und openSUSE aufgenommen

  6. #12

    Neue Updates von Red Hat aufgenommen

  7. #11

    Neue Updates von Red Hat aufgenommen

  8. #10

    Neue Updates von Amazon aufgenommen

  9. #9

    Neue Updates von Ubuntu aufgenommen

  10. #8

    Neue Updates von Rocky Enterprise Software Foundation aufgenommen

  11. #7

    Neue Updates von Oracle Linux und Rocky Enterprise Software Foundation aufgenommen

  12. #6

    Neue Updates von Oracle Linux und Red Hat aufgenommen

  13. #5

    Neue Updates von Red Hat aufgenommen

  14. #4

    Neue Updates von Rocky Enterprise Software Foundation, Oracle Linux und Red Hat aufgenommen

  15. #3

    Neue Updates von Rocky Enterprise Software Foundation und Red Hat aufgenommen

  16. #2

    Neue Updates von Rocky Enterprise Software Foundation und Oracle Linux aufgenommen

  17. #1

    Initiale Fassung

References