Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - CKEditor4 はオープンソースの what-you-see-is-what-you-get HTML エディターです。CKEditor 4 Code Snippet GeSHi プラグインで潜在的な脆弱性が発見されました。この脆弱性により、被害者がホストする GeSHi 構文ハイライターライブラリの欠陥を悪用した反射型 XSS 攻撃が可能になりました。GeSHi ライブラリは、CKEditor 4 ソースファイルのベンダー依存関係として含まれていました。特定のシナリオでは、攻撃者が悪意のあるスクリプトを作成して、PHP WebサーバーでホストされているGeSHiライブラリにリクエストを送信することで実行される可能性があります。GeSHi ライブラリは積極的なメンテナンスが行われなくなりました。継続的なサポートと更新がないため、潜在的なセキュリティ脆弱性は継続的な使用で特定されています。これらのリスクを軽減し、CKEditor 4 のセキュリティ全体を強化するため、依存関係である GeSHi ライブラリを完全に削除することに決定しました。この変更の目的は、安全な環境を維持し、古いソフトウェアやサポートされていないソフトウェアに関連するセキュリティインシデントのリスクを軽減することです。この修正は、バージョン 4.25.0-lts で利用可能です。CVE-2024-43407

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-43407

medium Nessus プラグイン ID 258379

バージョン 1.9