リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:3090-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Guava のすべてのバージョンにおいて、一時ディレクトリ作成の脆弱性が存在し、マシンへのアクセス権を持つ攻撃者が、Guava API com.google.common.io.Files.createTempDir() によって作成された一時ディレクトリのデータにアクセスできる可能性があります。デフォルトでは、unix のようなシステムで作成されたディレクトリは誰でも読み取ることができます (システムへのアクセス権を持つ攻撃者によって読み取り可能)。問題のメソッドはバージョン 30.0 以降で @Deprecated とマークされており、使用すべきではありません。Android 開発者には、context.getCacheDir() などの Android が提供する一時ディレクトリ API を選択することをお勧めします。その他の Java 開発者の場合は、明示的にアクセス許可を 700 に設定する Java 7 API java.nio.file.Files.createTempDirectory() に移行するか、Java ランタイムの java.io.tmpdir システムプロパティのアクセス許可を適切に設定するよう移行します。(CVE-2020-8908)

  - Google Guava バージョン 1.0 から 31.1 までの「FileBackedOutputStream」において、Java のデフォルトの一時ディレクトリを使用してファイルを作成すると、Unix システムと Android Ice Cream Sandwich 上で、デフォルトの Java 一時ディレクトリにアクセス権を持つ他のユーザーやアプリが、このクラスによって作成されたファイルにアクセスできる可能性があります。セキュリティの脆弱性はバージョン 32.0.0 で修正されていますが、バージョン 32.0.0 は Windows で一部の機能を破損させるため、バージョン 32.0.1 を使用することを推奨します。(CVE-2023-2976)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: guava (SUSE-SU-2023:3090-1)

high Nessus プラグイン ID 179194

バージョン 1.0