Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Cacti はオープンソースの運用モニタリングおよび障害管理のフレームワークです。影響を受けるバージョンは、格納型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。これにより、認証されたユーザーが、_cacti_ のデータベースに格納されたデータをポイズニングする可能性があります。これらのデータは管理者の _cacti_ アカウントによって表示され、表示時に被害者のブラウザで JavaScript コードが実行されます。「data_sources.php」スクリプトは、_cacti_ アプリのさまざまなデータ視覚化のために、データソース管理情報 (データソースパス、ポーリング設定など) を表示します。CENSUS は、悪意のあるデバイス名を設定できる攻撃者が、同じ (またはより広い) 権限のユーザーに対して格納型 XSS 攻撃を仕掛けることができることを発見しました。_General Administration>Sites/Devices/Data_ のアクセス許可を所有するユーザーは、_cacti_ でデバイス名を設定できます。この構成は「http://<HOST>/cacti/host.php」を介して発生し、レンダリングされた悪意あるペイロードは「http://<HOST>/cacti/data_sources.php」に表示されます。この脆弱性は、バージョン 1.2.25 で修正されました。ユーザーはアップグレードすることをお勧めします。更新できないユーザーは、HTML 出力を手動でフィルタリングする必要があります。
    (CVE-2023-39366)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-39366

medium Nessus プラグイン ID 256181

バージョン 1.1