Linux Distros のパッチ未適用の脆弱性: CVE-2025-27610

high Nessus プラグイン ID 248795

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Rack は、Ruby で Web アプリケーションを開発するためのインターフェースを提供します。バージョン 2.2.13、 3.0.14、 3.1.12より前では、「Rack::Static」は指定された「root:」下のファイルを提供することが可能で、「urls:」が提供されていても、指定された「root:」下の他のファイルを漏洩させる可能性があります。予期せず。この脆弱性は、ファイルを提供する前に「Rack::Static」がユーザー指定のパスを適切にサニタイズしないために発生します。具体的には、エンコードされたパストラバーサルシーケンスが正しく検証されず、これによって攻撃者が、指定された静的ファイルディレクトリ外のファイルにアクセスする可能性があります。この脆弱性を悪用することで、攻撃者はファイルのパスを判断できる場合、指定された「root:」ディレクトリのすべてのファイルにアクセスできるようになる可能性があります。
バージョン 2.2.13、 3.0.14、 3.1.12 には、の問題用のパッチが含まれています。その他の緩和策には、「Rack::Static」の使用を削除することや、「root:」がパブリックアクセス対象のファイルのみを含むディレクトリパスを指すようにすることが含まれます。CDNまたは類似の静的ファイルサーバーによっても、問題が緩和される可能性があります。CVE-2025-27610

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2025-27610

プラグインの詳細

深刻度: High

ID: 248795

ファイル名: unpatched_CVE_2025_27610.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

ファミリー: Misc.

公開日: 2025/8/12

更新日: 2025/8/12

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus