AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:ant/ant-antlr/ant-apache-bcel/ant-apache-bsf/ant-apache-oro/etc(ALMALINUX9.2:CLSA-2026:1789382807)

high Nessus プラグイン ID 362151

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1789382807アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Apache Ant の ftp タスクと scp タスクは、リモートサーバーからファイルをダウンロードできます。悪意のあるサーバーが、ダウンロード用の専用ターゲットディレクトリの外側に書き込むことを可能にする相対パスを提供し、これにより Ant 1.10.18 より前のバージョンで Ant を実行しているユーザーのアクセス許可を利用して、攻撃者が選んだファイルを上書きできる可能性があります。この脆弱性を悪用するには、サーバーが悪意があるか、中間者マシン攻撃を受けやすい必要があります。さらに、ftps を使用する scp または ftp タスクの場合、サーバーはタスクによって実行されるサーバー識別チェックに合格する必要があります。ftps を使用しない ftp タスクでは、悪意のあるサーバーが中間マシンとして機能し、悪意のあるファイルを提供する可能性があります。
Ant 1.10.18 起動すると、両方のタスクがデフォルトで宛先ディレクトリの外部への書き込みを防止します。
まれに既存のビルドファイルで古い動作が必要となっている場合に、この動作を無効にするオプションを利用できます。緩和策:Antのどのバージョンでもscpおよびftp(ftpsを使用する場合)のユーザーは、サーバー識別チェックをバイパスしないでください。ftps を使用しない ftp のユーザーは、可能であれば ftps に切り替える必要があります。すべてのユーザーは、Apache Ant 1.10.18にアップグレードし、この問題を修正することが推奨されます。(CVE-2026-78254)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。