リモートの Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS ホストにインストールされているパッケージは、USN-5973-1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - url-parse <1.4.3 の不適切な解析により、誤ったホスト名が返され、SSRF、Open Redirect、バイパス認証プロトコルなどの複数の脆弱性が発生します。(CVE-2018-3774)

  - url-parse npm パッケージバージョン 1.4.4 以前に、ユーザー入力の検証とサニタイズが不十分なため、攻撃者がセキュリティチェックをバイパスできる可能性があります。(CVE-2020-8124)

  - 1.5.0 より前の url-parse は、http: \/ などのバックスラッシュの特定の使用を誤って処理し、URI を相対パスとして解釈します。(CVE-2021-27515)

  - url-parse は、信頼できないサイトへの URL リダイレクトに対して脆弱です (CVE-2021-3664)

  - 1.5.6より前の NPM url-parse でのユーザー制御キーによる認証バイパス (CVE-2022-0512)

  - 1.5.7より前の NPM url-parse でのユーザー制御キーによる認証バイパス (CVE-2022-0639)

  - 1.5.8より前の NPM url-parse でのユーザー制御キーによる認証バイパス (CVE-2022-0686)

  - 1.5.9より前の NPM url-parse でのユーザー制御キーによる認証バイパス (CVE-2022-0691)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS : url-parse の脆弱性 (USN-5973-1)

critical Nessus プラグイン ID 173433

バージョン 1.0