リモートのDebian 9ホストには、dla-2741のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 2.7より前のApache Commons IOでは、//../fooまたは\\..\fooのような不適切な入力文字列でFileNameUtils.normalizeメソッドを呼び出すと、結果が同じ値になり、親ディレクトリ内のファイルにアクセスが提供される可能性があります。ただし、呼び出し側のコードが結果を使用してパス値を構築する場合は、それ以上には制限されません（したがって、パストラバーサルが制限されます）。（CVE-2021-29425）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-2741-1：commons-io - LTSセキュリティ更新

medium Nessus プラグイン ID 152662

変更ログが見つかりません