Debian DLA-2178-1 : awlセキュリティ更新プログラム

critical Nessus プラグイン ID 135721

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

awlソースパッケージについて次のCVEが報告されました:

CVE-2020-11728

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。セッション管理で、推測が難しいセッションキーが使用されていません。マイクロ秒の時間（およびインクリメントするsession_id）を推測できれば、セッションのなりすましが可能になります。

CVE-2020-11729

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。長期セッション継続性を提供するために使用される長期セッションcookieが安全に生成されず、ブルートフォース攻撃が成功する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン0.55-1+deb8u1で修正されました。

使用しているawlのパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。