FreeBSD: rubygem-geminabox -- XSSとCSRFの脆弱性（2bffdf2f-9d45-11e7-a25c-471bafc3262f）
high Nessus プラグイン ID 103343
Language:
概要
リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。説明
Gem in a box XSSの脆弱性 - CVE-2017-14506:悪意のある攻撃者がホームページ値（.gemspecファイル内のgem.homepage）にXSSペイロードが含まれるように細工したGEMファイルを作成します。
また、geminaboxシステムにアクセスして、gemファイルをアップロードします（またはCSRF/SSRF攻撃を使用します）。
この後で、任意のユーザーがGeminabox Webサーバーにアクセスして、悪意のあるXSSペイロードを実行します。これにより、サーバー上のgemが削除され、ユーザーはgeminaboxを使用できなくなります（被害者のブラウザをクラッシュさせたり、被害者を他のホストにリダイレクトしたりします）。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 103343
ファイル名: freebsd_pkg_2bffdf2f9d4511e7a25c471bafc3262f.nasl
バージョン: 3.7
タイプ: local
公開日: 2017/9/20
更新日: 2021/1/4
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 6.8
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: High
基本値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
脆弱性情報
CPE: p-cpe:/a:freebsd:freebsd:rubygem-geminabox, cpe:/o:freebsd:freebsd
必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info
パッチ公開日: 2017/9/19
脆弱性公開日: 2017/9/18
参照情報
CVE: CVE-2017-14506, CVE-2017-14683