リモートの Debian 9 ホストには、dla-2866 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  UNIX の University of Washington IMAP Toolkit 2007f は、PHP や他の製品の imap_open() で使用されているように、rsh コマンドをリリースしました (c-client/imap4r1.c の imap_rimap 関数と osdep/unix/tcp_unix.c の tcp_aopen 関数により) 。引数インジェクションの回避は実装されておらず、IMAP サーバー名が信頼できない入力であったり (Web アプリケーションのユーザーが入力したものなど) 、rsh がプログラムによって別の引数セマンティックと置き換えられたりする場合に、リモート攻撃者が、任意の OS コマンドを実行する可能性があります。
    たとえば、rsh が ssh へのリンクの場合 (Debian および Ubuntu システムで見られるように) 、攻撃で -oProxyCommand 引数を含む IMAP サーバー名が使用される可能性があります。(CVE-2018-19518)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Debian DLA-2866-1 : uw-imap - LTS セキュリティ更新

high Nessus プラグイン ID 156391

変更ログが見つかりません