Debian DLA-68-1：fex セキュリティ更新

medium Nessus プラグイン ID 82213

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

[CVE-2014-3875]

rup に対するリクエストにエンコードされた改行文字を挿入する際、Web サイトの上部の新しい HTML コードと同様に、追加の HTTP ヘッダーが返信に注入される可能性があります。

[CVE-2014-3876] akey パラメーターは、HTML ページの一部としてフィルターされずに反映されます。一部の文字は URL のフィルタリングのために GET パラメーターで禁止されていますが、これは POST パラメーターを使用することで回避される可能性があります。しかし、この問題は、いくつかのユーザーインタラクションにより、GET パラメーターだけを介することでも悪用可能です。

[CVE-2014-3877] addto パラメーターは、HTML ページの一部として、ユーザーに対してわずかにフィルターされて反映されます。一部の文字は URL のフィルタリングのために GET パラメーターで禁止されていますが、これは POST パラメーターを使用することで回避される可能性があります。しかし、この問題は、いくつかのユーザーインタラクションにより、GET パラメーターだけを介することでも悪用可能です。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。