したがって、ALAS2023-2023-295 のアドバイザリに記載されている脆弱性の影響を受けます。

  - xi:include 要素内の href=.?../../../../../../../../../../etc/passwd で実証されているように、ローカルまたはリモートの攻撃者が 2.56.3 以前の librsvg の URL デコーダーにおけるディレクトリトラバーサルの問題を利用して、(予想される領域外のローカルファイルシステムにある) ファイルを漏洩する可能性があります。(CVE-2023-38633)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : librsvg2、librsvg2-devel、librsvg2-tools (ALAS2023-2023-295)

medium Nessus プラグイン ID 180110

バージョン 1.0