Amazon Linux 2: xdg-utils を参照してください (ALAS-2023-2002)

high Nessus プラグイン ID 173234

Language:

概要

リモートの Amazon Linux 2 ホストにセキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている xdg-utils のバージョンは 1.1.0-0.17.20120809git よりも前です。したがって、ALAS2-2023-2002 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- xdg-utils-1.1.0-rc1 以降の xdg-email コンポーネントに欠陥が見つかりました。mailto: URI、xdg-email を処理する場合、添付ファイルが Thunderbird に渡される際に、URI を介して慎重に追加される可能性があります。攻撃者は、機密ファイルを新しいメールに自動的に添付する URI を被害者に送信する可能性があります。被害者のユーザーが添付ファイルが追加されたことに気付かず、メールを送信すると、機密情報が漏洩する可能性があります。この問題の背後にあるコードは、Thunderbird ではなく xdg-email にあることが確認されています。(CVE-2020-27748)

- xdg-mail が mailto URL に thunderbird を使用するように構成されている場合、URL の不適切な解析により、RFC 2368 に記載されていない追加のヘッダーが thunderbird に渡される可能性があります。攻撃者はこのメソッドを使用して、ユーザーには安全に見える mailto URL を作成できますが、実際にはクリックするとファイルが添付されます。(CVE-2022-4055)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。