Сканеры сетевых уязвимостей, такие как Nessus, могут представлять результаты для Cato Socket, которые кажутся уязвимостями безопасности. Во многих случаях эти результаты являются ложными срабатываниями или общими рекомендациями по лучшей практике, которые не представляют собой эксплуатируемые проблемы на Socket.
Эта статья объясняет общие результаты сканирования, сообщенные для Cato Socket, и разъясняет, почему эти результаты не представляют риск безопасности, когда Socket развернут с поддерживаемыми версиями и защитой по умолчанию.
Открытые TCP порты на Socket
Сканеры уязвимостей часто отмечают открытые порты как потенциальные уязвимости. Socket намеренно открывает только следующие TCP порты:
TCP 22 – Использовано для SSH доступ к облаку
TCP 443 – Использовано для HTTPS доступ к Веб-интерфейс сокета
На Socket нет дополнительных открытых TCP портов.
Это поведение заложено и необходимо для безопасного управления и эксплуатации Socket.
WebUI Socket
Некоторые сканеры сообщают о проблемах с межсайтовым скриптингом (XSS) в Веб-интерфейсе сокета.
Эти проблемы решены в версиях сокета 18 и выше
OpenSSH CVE выводы
Сканеры уязвимостей часто сообщают о CVE, связанных с OpenSSH, на основе обнаружения баннера или общего соответствия версии.
Проверить Отчет о версии OpenSSH
Перед оценкой результатов, связанных с OpenSSH:
Проверить версию OpenSSH от сканера
Подтвердить Версия сокета в использовании
Версия Socket 19 использует OpenSSH 9.3p1. Во многих случаях сканеры отмечают уязвимости, которые применяются к старым версиям OpenSSH и не актуальны для этого выпуска.
Идентифицированы CVE для всех версий сокетов
CVE | Воздействие | Описание |
CVE-2002-20001 | Не применяется - Socket включает встроенную защиту SSH от перебора паролей | Эта защита предотвращает эксплуатацию этих CVE и многие похожие техники атак |
CVE-2004-1653 | Не применяется - Неактуально для конфигурации сокета | Требуется общедоступная конфигурация SSH, которая недоступна |
CVE-2007-2243 | Не применяется - Неактуально для конфигурации сокета | Требуется аутентификация S/Key, которая отключена |
CVE-2007-2768 | Не применяется - Неактуально для конфигурации сокета | Требуется активация или установка OPIE, которая недоступна |
CVE-2023-38408 | Не применяется - Неактуально для конфигурации сокета | Socket не использует уязвимую функцию OpenSSH, необходимую для эксплуатации этой проблемы |
Идентифицированы CVE для Socket v26
Сканеры могут идентифицировать эти CVE для сокетов, работающих на версии Socket 26.x.
CVE | Влияние | Description |
CVE-2026-59998 | Не применяется - Неактуально для конфигурации сокета | Требуется аутентификация GSSAPI, которая отключена. |
CVE-2026-59999 | Не применяется - Неактуально для конфигурации сокета | Требуется SSH-туннелирование, которое отключено. |
CVE-2026-60000 | Не применяется - Неактуально для конфигурации сокета | Требуется аутентификация GSSAPI, которая отключена. |
CVE-2026-35387 | Не применяется - Неактуально для конфигурации сокета | Требуются настройки ограничения алгоритмов SSH, которые не настроены. |
CVE-2026-59997 | Не применяется - Неактуально для конфигурации сокета | Воздействует на внутреннюю реализацию SFTP, которую сокет не использует. |
CVE-2026-35414 | Не применяется - Неактуально для конфигурации сокета | Требуется аутентификация на основе CA или принципала, которая отключена. |
CVE-2026-35385 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-35386 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-35388 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-59995 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-59996 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-60002 | Не применяется - Поведение клиента SSH | Применяется к функциональности клиента SSH, а не к серверу SSH сокета. |
CVE-2026-60001 | Ограниченное потенциальное воздействие - Риск отказа в обслуживании SSH | Может повлиять на сервис SSH в сценариях отказа в обслуживании. Аутентификация на основе паролей отключена, что снижает общий риск. |
Отсутствует HTTP заголовки безопасности
Сканеры могут сообщать об отсутствующих заголовках безопасности HTTP как об уязвимостях.
Эти результаты являются общими рекомендациями по безопасности, а не уязвимостями Socket.
Strict-Transport-Security
Веб-интерфейс сокета это внутренний интерфейс управления
Он не использует общедоступный Полное доменное имя (FQDN)
Strict-Transport-Security заголовок не применим в этом контексте
X-Content-Type-Options
Этот заголовок в основном актуален для веб-приложений, которые поддерживают функцию загрузки файла
Веб-интерфейс сокета не включает функцию загрузки файла
В результате, эта находка не указывает на проблему безопасности
Автозаполнение включено для полей пароля
Некоторые сканеры сообщают, что атрибут автозаполнения включен для полей паролей.
Эта находка не представляет собой уязвимость в Socket
Сканеры ищут атрибут autocomplete=off, который отсутствует
TLS шифры
Сокеты объявляют эти TLS шифры, которые известны как уязвимости.
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
Проблемы, связанные с CBC, влияют на TLS 1.0/SSL 3.0 и более ранние версии. Сокеты используют TLS 1.2, что смягчает эти проблемы, и AES-GCM поддерживается и предпочтителен
Изменения в статье
Дата | Description |
|---|---|
18 октября, 2026 | Добавлено Идентифицированы CVE для всех версий сокетов (включает CVE-2002-20001 и CVE-2023-38408, которые были в CVE-отчетах по OpenSSH) |
23 августа 2026 | Добавлено Идентифицированы CVEs для Socket v26 |