Debian DLA-2855-1 : monit - LTS セキュリティ更新

high Nessus プラグイン ID 156320

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 9 ホストには、dla-2855 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 5.25.3より前の Tildeslash Monit の http/cervlet.c の永続的クロスサイトスクリプティング (XSS) により、認証されていないリモート攻撃者が、HTTP 基本認証用の承認ヘッダーのサニタイズされていないユーザーフィールドを操作することで、任意の JavaScript を導入する可能性があります。これは、_viewlog 操作中に誤って処理されます。(CVE-2019-11454)

- 5.25.3より前の Tildeslash Monit の util.c の Util_urlDecode のバッファオーバーリードにより、リモートの認証された攻撃者が、GET または POST パラメーターを操作することで、隣接するメモリのコンテンツを取得する可能性があります。攻撃者は、サービス拒否 (アプリケーションの停止) を引き起こす可能性もあります。(CVE-2019-11455)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。