Rocky Linux 8ホストには、CIQ crlsa-2020_4847 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * jquery:クロスドメイン ajax リクエストによるクロスサイトスクリプティング(CVE-2015-9251)

    * ブートストラップ:データターゲット属性の XSS(CVE-2016-10735)

    * ブートストラップ:collapse data-parent 属性のクロスサイトスクリプティング(XSS)(CVE-2018-14040)

    * ブートストラップ:ツールチップのデータコンテナプロパティのクロスサイトスクリプティング(XSS)(CVE-2018-14042)

    * bootstrap: ツールチップまたはポップオーバーデータテンプレート属性の XSS (CVE-2019-8331)

    * jquery:オブジェクトのプロトタイプのプロトタイプ汚染により、サービス拒否、リモートコード実行、またはプロパティインジェクションが発生(CVE-2019-11358)

    * jquery:不適切な injQuery.htmlPrefilter メソッドによるクロスサイトスクリプティング(CVE-2020-11022)

    * jquery: <option> 要素を含むHTMLを操作メソッドに渡すことで、信頼できないコードが実行される可能性があります(CVE-2020-11023)

    * pki:Dogtag の python クライアントは、証明書を検証しません(CVE-2020-15720)

    * pki-core:CA のエージェントページで「パスの長さ」制約フィールドに反映された XSS(CVE-2019-10146)

    * pki-core/pki-kra:recover 認証タブの KRA の DRM エージェントページにある recoveryID 検索フィールドの XSS を反映(CVE-2019-10179)

    * pki-core:CA の getcookies?url= エンドポイントにおける折り返し型 XSS(CVE-2019-10221)

    * pki-core:getPk12 ページを介した折り返し型 XSS に対して KRA に脆弱性(CVE-2020-1721)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8 [CIQ] セキュリティ更新:apache-commons-collections/apache-commons-lang/etcの複数の脆弱性(crlsa-2020_4847)

critical Nessus プラグイン ID 359386

バージョン 1.3