FreeBSD : forgejo -- 複数の脆弱性 (a5e13973-6c75-11ef-858b-23eeba13701a)

medium Nessus プラグイン ID 206743

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、a5e13973-6c75-11ef-858b-23eeba13701a のアドバイザリに記載されている脆弱性の影響を受けます。

- Webpack はモジュールバンドラーです。その主な目的は、ブラウザで使用するために JavaScript ファイルをバンドルすることですが、ほぼすべてのリソースや資産を変換、バンドル、またはパッケージ化することもできます。Webpack の開発者は、Webpack の「AutoPublicPathRuntimeModule」で DOM Clobbering の脆弱性を発見しました。モジュールの DOM Clobbering ガジェットは、スクリプトのない攻撃者が制御する HTML 要素 (サニタイズされていない「name」属性を持つ「img」タグなど) が存在するウェブページでクロスサイトスクリプティング (XSS) を引き起こす可能性があります。
このガジェットの実際の悪用が Canvas LMS で観察されています。これにより、Webpack によってコンパイルされた javascript コードを介して XSS 攻撃を引き起こす可能性があります (脆弱な部分は Webpack からのものです)。DOM Clobbering はコード再利用攻撃の一種です。この攻撃では、攻撃者が最初に非スクリプトの、一見無害な HTML マークアップを Web ページに (投稿やコメントなどを通じて) 埋め込み、既存の javascript コードでガジェット (js コード) を利用して、それを実行可能コードに変換します。この脆弱性により、Webpack で生成されたファイルを含む Web サイトでクロスサイトスクリプティング (XSS) が引き起こされる可能性があり、ユーザーが不適切にサニタイズされた名前または id 属性を持つ特定のスクリプトのない HTML タグを挿入する可能性があります。この問題は、リリースバージョン 5.94.0 で対処されています。全ユーザーにアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2024-43788)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。