リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 ホストには USN-7647-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    LedgerSMB が HTML フラグメントの生成元をチェックしなかったことが判明しました。攻撃者が、この問題を利用して、悪意をもって細工されたURLをサーバーに送信して、秘密情報を取得するか、任意のコードを実行する可能性があります。この問題の影響を受けるのは Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.04 のみです。
    (CVE-2021-3693)

    LedgerSMB が HTML エラーメッセージを適切にエンコードしないことが判明しました。攻撃者が、この問題を利用して、悪意をもって細工されたURLをサーバーに送信して、秘密情報を取得するか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS のみです。(CVE-2021-3694)

    LedgerSMB が別個のリンクリダイレクトに対する保護を行わないことが判明しました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2021-3731)

    HTTPSセッション中に、LedgerSMBが「Secure」属性を適切に設定しないことがわかりました。ユーザーが騙されて、暗号化されていない接続を使用した場合、攻撃者がこの問題を悪用し、機密情報を取得する可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS 、Ubuntu 22.04 LTS 、Ubuntu 24.04 LTS 、 25.04Ubuntuのみです。CVE-2021-3882

    LedgerSMB は URL 経由で管理者アカウントを作成できることが判明しました。管理者が騙されて、悪意のある細工された URL をクリックすると、攻撃者がこの問題を利用して、権限昇格を実現する可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS 、Ubuntu 22.04 LTS 、Ubuntu 24.04 LTS 、 25.04Ubuntuのみです。CVE-2024-23831

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 LedgerSMB の脆弱性USN-7647-1

critical Nessus プラグイン ID 242338

バージョン 1.1