EulerOS 2.0 SP8：wget（EulerOS-SA-2019-1663）

high Nessus プラグイン ID 126290

Language:

概要

リモートのEulerOSホストにセキュリティ更新プログラムがありません。

説明

インストールされているwgetパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- 1.20.1より前のGNU Wgetのxattr.cにあるset_file_metadataは、ファイルのオリジンURLをダウンロードされたファイルの拡張属性のuser.xdg.origin.urlメタデータ属性に保存します。これにより、getfattrによって実証されるように、ローカルユーザーがこの属性を読み取ることによって秘密情報（URLに含まれる資格情報など）を取得する可能性があります。これは、user.xdg.referrer.urlメタデータ属性のReferer情報にも当てはまります。Wget ChangeLogの2016-07-22によると、user.xdg.origin.urlはcurlのtool_xattr.cにあるfwrite_xattrの動作に部分的に基づいていました。（CVE-2018-20483）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。