リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4527-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - sbt は、Scala、Java などのビルドツールです。特別に細工された zip または JAR ファイルに対して、「IO.unzip」は任意のファイルへの書き込みを可能にします。これにより、「/root/.ssh/authorized_keys」を上書きする可能性があります。
    sbt のメインコード内では、「IO.unzip」が「pullRemoteCache」タスクおよび「Resolvers.remote」で使用されていますが、多くのプロジェクトでは「IO.unzip(...)」を直接使用してカスタムタスクを実装します。この脆弱性はバージョン 1.9.7 でパッチが適用されています。(CVE-2023-46122)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: maven、maven-resolver、sbt、xmvn (SUSE-SU-2023:4527-1)

high Nessus プラグイン ID 186235

バージョン 1.0