Erlangで記述された高パフォーマンスHTTP 1.1 Webサーバーであるyawsに、2つの問題が見つかりました。

CVE-2020-24379 XML外部エンティティ（XXE）攻撃を回避するために、DAVで外部リソースリクエストを拒否します。

CVE-2020-24916 CGIリクエスト経由のコマンドインジェクションを回避するために、CGI実行可能ファイルをサニタイズします。

Debian 9「Stretch」では、これらの問題はバージョン2.0.4+dfsg-1+deb9u1で修正されています。

お使いのyawsパッケージをアップグレードすることを推奨します。

yawsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/yaws

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2384-1: yawsセキュリティ更新

critical Nessus プラグイン ID 140810

バージョン 1.3