Linux Distros のパッチ未適用の脆弱性: CVE-2024-52595

medium Nessus プラグイン ID 256762

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- lxml_html_clean は、「lxml.html.clean」からコピーされた HTML 消去機能用のプロジェクトです。バージョン 0.4.0より前のバージョンでは、lxml の HTML パーサーが「<svg>」、「<math>」、「<noscript>」などの特別な HTML タグのコンテキストスイッチを適切に処理していません。この動作は、Webブラウザーがこのようなタグを解析し解釈する方法から逸脱します。具体的には、CSSコメントのコンテンツはlxml_html_cleanによって無視されますが、Webブラウザーによって異なる方法で解釈され、悪意のあるスクリプトがクリーニングプロセスをバイパスする可能性があります。この脆弱性はクロスサイトスクリプティングXSS攻撃につながり、信頼できない HTML コンテンツをサニタイズするためにデフォルト構成の lxml_html_clean に依存するユーザーのセキュリティを破る可能性があります。セキュリティ対応のコンテキストで HTML クリーナーを採用しているユーザーは、この問題に対処している lxml 0.4.0にアップグレードする必要があります。一時的な緩和策として、ユーザーはこの脆弱性の悪用を防ぐために以下の設定で lxml_html_clean を構成できます。「remove_tags」で、削除するタグを指定できます - コンテンツは親のタグに移動されます。「kill_tags」で、完全に削除するタグを指定できます。「allow_tags」を介して、「<svg>」、「<math>」、「<noscript>」などのコンテキストスイッチングタグを除いて、許可されるタグのセットを制限する可能性があります。CVE-2024-52595

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2024-52595

プラグインの詳細

深刻度: Medium

ID: 256762

ファイル名: unpatched_CVE_2024_52595.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

ファミリー: Misc.

公開日: 2025/8/27

更新日: 2025/8/27

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus