Linux Distros のパッチ未適用の脆弱性: CVE-2025-25184

medium Nessus プラグイン ID 230824

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Rack は、Ruby で Web アプリケーションを開発するためのインターフェースを提供します。バージョン 2.2.11、 3.0.12、 3.1.10より前のバージョンでは、Rack::CommonLogger が改行文字を含む入力を細工することで悪用され、ログエントリが操作される可能性があります。提供された概念実証は、悪意のあるコンテンツのログへの注入を実証しています。
ユーザーが Rack::Auth::Basic を介して認証情報を提供し、成功した場合、ユーザー名が env['REMOTE_USER'] に配置され、後にロギング目的で Rack::CommonLogger によって使用されます。この問題が発生するのは、ユーザー名に CRLF および空白文字が含まれるユーザー作成をサーバーが意図的あるいは偶然に許可する場合、またはサーバーがすべてのログイン試行を記録したいだけの場合です。攻撃者が CRLF 文字を含むユーザー名を入力すると、ロガーは CRLF 文字を含む悪意のあるユーザー名をログファイルに記録します。攻撃者は、ログ形式を壊したり、偽のエントリを挿入したりして、実際のアクティビティを目立たなくさせたり、悪意のあるデータをログファイルに挿入したりする可能性があります。バージョン 2.2.11、 3.0.12、および 3.1.10 には修正が含まれています。
(CVE-2025-25184)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2025-25184

プラグインの詳細

深刻度: Medium

ID: 230824

ファイル名: unpatched_CVE_2025_25184.nasl

バージョン: 1.4

タイプ: local

エージェント: unix

ファミリー: Misc.

公開日: 2025/3/6

更新日: 2025/8/7

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus