リモートの Debian 9 ホストには、dla-2860 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Paramiko バージョン 2.4.1, 2.3.2, 2.2.3, 2.1.5, 2.0.8, 1.18.5, 1.17.6には SSH サーバーに不適切なアクセス制御の脆弱性があり、RCE を引き起こす可能性があります。この攻撃は、ネットワーク接続経由で悪用される可能性があります。 (CVE-2018-1000805 )

  1.17.6より前、1.18.5より前の1.18.x、2.0.8より前の2.0.x、2.1.5より前の2.1.x、2.2.3より前の2.2.x、2.3.2より前の2.3.x、2.4.1より前の2.4.xの Paramiko の SSH サーバー実装内にある transport.py は、チャンネルオープンが示すとおり、他のリクエストを処理する前に認証が完了しているかどうかを適切に確認しません。カスタマイズされた SSH クライアントが簡単に認証ステップをスキップする可能性があります。(CVE-2018-7750)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Debian DLA-2860-1 : paramiko - LTS セキュリティ更新

critical Nessus プラグイン ID 156334

変更ログが見つかりません