Debian dla-4390 : pagure - セキュリティ更新
critical Nessus プラグイン ID 277288
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 ホストには、dla-4390 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4390-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2025 年 12 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
パッケージ : pagure バージョン : 5.11.3+dfsg-1+deb11u1 CVE ID : CVE-2024-4981 CVE-2024-4982 CVE-2024-47515 CVE-2024-47516 Debian バグ : 1091383
Git を中心とするコードホスティングシステム (forge) である Pagure に複数の脆弱性が発見されました。
CVE-2024-4981
_update_file_in_git() 関数は、一時的複製のシンボリックリンクをたどります。修正方法は、ファイルパスが temp repo の外部または「.git/」フォルダーの内部にある場合に処理を中止し、データ漏洩やファイルまたは git 設定の不正な変更を回避することです。
CVE-2024-4982
view_issue_raw_file() のパストラバーサル。
CVE-2024-47515
generate_archive() 関数は、一時的複製のシンボリックリンクをたどります。修正方法は、zip アーカイブに実際のリンクを追加することであり、ターゲットコンテンツを追加することではありません。
CVE-2024-47516
リポジトリ履歴の取得中の Git コマンドラインへの追加オプションの注入を修正し、リモートコードの実行を防止します。
Debian 11 bullseye においては、これらの問題はバージョン 5.11.3+dfsg-1+deb11u1 で修正されました。
お使いの pagure パッケージをアップグレードすることを推奨します。
pagure の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
https://security-tracker.debian.org/tracker/pagure
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
pagure パッケージをアップグレードしてください。参考資料
https://security-tracker.debian.org/tracker/source-package/pagure
https://security-tracker.debian.org/tracker/CVE-2024-47515
https://security-tracker.debian.org/tracker/CVE-2024-47516
https://security-tracker.debian.org/tracker/CVE-2024-4981
プラグインの詳細
深刻度: Critical
ID: 277288
ファイル名: debian_DLA-4390.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2025/12/3
更新日: 2025/12/3
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-47516
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:pagure, p-cpe:/a:debian:debian_linux:pagure-ci, p-cpe:/a:debian:debian_linux:pagure-doc, p-cpe:/a:debian:debian_linux:pagure-ev-server, p-cpe:/a:debian:debian_linux:pagure-loadjson, p-cpe:/a:debian:debian_linux:pagure-logcom, p-cpe:/a:debian:debian_linux:pagure-milters, p-cpe:/a:debian:debian_linux:pagure-mirror, p-cpe:/a:debian:debian_linux:pagure-webhook
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/12/1
脆弱性公開日: 2024/12/24
参照情報
CVE: CVE-2024-47515, CVE-2024-47516, CVE-2024-4981, CVE-2024-4982