The remote host is affected by the vulnerability described in GLSA-201110-08 (feh: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in feh. Please review the       CVE identifiers referenced below for details.
  Impact :

    A malicious entity might entice a user to visit a URL using the
      --wget-timestamp option, thus executing arbitrary commands via shell       metacharacters; a malicious local user could perform a symlink attack and       overwrite arbitrary files.
  Workaround :

    There is no known workaround at this time.

Changes since 0.10.1 :

  - Bug fixes * Make zoom_default key work properly with
    --geometry * Only create caption directory when actually     writing out a caption.
    <http://github.com/derf/feh/issues/42> * read directory     contents sorted by filename instead of 'randomly' (as     returned by readdir) by default. Thanks talisein!     <https://github.com/derf/feh/pull/20> * Show certain     warnings in the image window as well as on the     commandline <http://github.com/derf/feh/issues/43> *     Change a patch for NETWM fullscreen support to only     apply to fullscreen windows. This fixes the moving     windows bug in fluxbox (since fluxbox doesn't report its     window border width).
    <http://github.com/derf/feh/issues/22>     <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=570903     > * Minor manpage fixes.
    <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=625683     > * Fix --auto-zoom / --zoom max/fill documentation, the     'Auto-Zoom' menu option is now always checked when these     options are used * Set _NET_WM_NAME and
    _NET_WM_ICON_NAME properties     <http://github.com/derf/feh/issues/44> * The     zoom_default key now works fine with --scale-down     <http://github.com/derf/feh/issues/41> * Fix access of     uninitialized memory / malloc/realloc clash in continued     theme definition handling. Having a theme line with just     one option/value pair used to produce undefined     behaviour * Fix segfault upon unloadable images when     image-related format specifiers (e.g. %h) are used in
    --title * Fix Imlib2 caching bug in reload (only worked     after the second try) * Show correct image dimensions in     for cached thumbnails * Fix zooming when --scale-down is     used * Make in/out zoom use equal zoom ratio

  - Behavior changes/compatability * --menu-style is now     deprecated * The --menu-bg option has been deprecated.
    It will be removed along with --menu-style by the end of     2012. <http://github.com/derf/feh/issues/27> * Since the     manual is way better structured and more detailed than     the --help output, it now simply refers to the manual. *     The 'A' key (toggle_aliasing) now actually changes the     current window, and not just the default for new windows
    * Show images in current directory when invoked without     file arguments * The --bg options are now     Xinerama-aware. That is, they set the image in the     respective mode (scale/fill/max/center) on each Xinerama     screen. Use --no-xinerama to disable this. * Add --zoom     fill as equivalent for --auto-zoom * Remove builtin http     client (--builtin) * http images are now viewed using     libcurl, not wget (thanks to talisein) This adds libcurl     as dependency, and removes the wget recommendation *     Allow commandline options to override those set in a     theme * Remove support for FEH_OPTIONS (was deprecated     >5 years ago) * Restrict available modifiers to     Control/Mod1/Mod4 * The themes are now read from     ~/.config/feh/themes (BC for .fehrc exists) * Key     bindings can now be configured via ~/.config/feh/keys *     Removes --rcpath, use XDG_CONFIG_HOME instead * Increase     movement steps for Ctrl+Left etc.

  - Features * You can now use the next/prev/jump keys to     navigate thumbnails. Use the render key to open the     currently selected thumbnail.
    <http://github.com/derf/feh/issues/26> * Option to     disable antialiasing, either global (--force-aliasing)     or per image (press 'A' to toggle, keybinding     toggle_aliasing) * Use SIGUSR1/SIGUSR2 to reload all     images in multiwindow mode * Add --zoom max (zooming     like in --bg-max)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

0.10.1 以降の変更：

  - バグ修正* zoom_defaultキーをで適切に機能させる
    --geometry *キャプションを実際に書き出すときにのみキャプションディレクトリを作成します。
    <http://github.com/derf/feh/issues/42> * デフォルトで、「ランダム」ではなく、ファイル名でソートされたディレクトリコンテンツを読み込みます（readdirで返されるため）。taliseinに感謝しています！<https://github.com/derf/feh/pull/20> * 特定の警告を画像ウィンドウやコマンドラインで表示 http://github.com/derf/feh/issues/43> * NETWM全画面サポート用パッチを、全画面のウィンドウにのみ適用されるように変更。これは、fluxbox の移動するウィンドウのバグも修正しています（fluxbox はウィンドウのボーダー幅を報告しないため）。
    <http://github.com/derf/feh/issues/22><http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=570903> * マイナーなmanページの修正。
    <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=625683> * --auto-zoom/--zoom max/fillのドキュメントを修正。これらのオプションを使用する際に「自動ズーム」メニューオプションが常にチェックされるようになりました * _NET_WM_NAMEおよび
    _NET_WM_ICON_NAMEプロパティを設定 <http://github.com/derf/feh/issues/44> * zoom_defaultキーが --scale-down <http://github.com/derf/feh/issues/41> で正常に機能するようになりました * 継続するテーマ定義処理での初期化されていないメモリ/malloc/reallocのクラッシュが修正されます。1つのオプション/値のペアのみが含まれるテーマ行を使用して未定義の動作を生成*画像関連の書式指定子（例：％h）が使用される場合にアンロードできない画像のセグメンテーション違反を修正
    --title *リロードのImlib2キャッシングのバグを修正（2回目の試行後にのみ機能）*キャッシュされたサムネイルに対して正しい画像寸法を表示* --scale-down使用時のズームを修正*イン/アウトズームを同じズーム比で使用

  - 動作の変更/互換性 * --menu-styleが非推奨になりました * --menu-bgオプションが非推奨になりました。
    2012年末までに--menu-styleとともに削除されます。<http://github.com/derf/feh/issues/27> *マニュアルは--help出力よりも構造が優れており、より詳細であるため、現在は単にマニュアルを参照しています。 *「A」キー（toggle_aliasing）は現在、新しいウィンドウのデフォルトだけでなく、現在のウィンドウを実際に変更します。
    *ファイル引数なしで呼び出されたときに現在のディレクトリの画像を表示する* --bg オプションがXineramaに対応するようになりました。これは、各 Xiinerama 画面において関連したモード（scale/fill/max/center）で画像を設定します。--no-xineramaを使用してこれを無効にします。* --auto-zoomと同等の--zoom fillを追加 * builtin httpクライアント（--builtin--builtin）を削除 * http画像はwgetではなく、libccurlを使用して表示されるようになりました（taliseinによる変更） これは依存関係としてlibcurlを追加し、wget推奨を削除します * コマンドラインオプションが、テーマで設定されたものに優先することを許可 * FEH_OPTIONSのサポートを削除（6年以上前に非推奨になっていた） * Control/Mod1/Mod4に対して利用できる修飾子を制限 * テーマが、~/.config/feh/themesから読み込まれるようになりました（.fehrcのBCが存在） * キーバイディングを、~/.config/feh/keysから構成できるようになりました * --rcpathを削除し、代わりにXDG_CONFIG_HOMEを使用 * Ctrl++Leftなどの移動ステップを増加

  - 機能 * サムネイルの操作に next/prev/jump キーを使用できるようになりました。レンダーキーを使用して、現在選択しているサムネイルを開きます。
    <http://github.com/derf/feh/issues/26> * アンチエイリアスを無効にするオプション、グローバル（--force-aliasing）または画像ごと（「A」を押してキーバインディングtoggle_aliasingを切り替え）* SIGUSR1/SIGUSR2を使用して全画像をマルチウィンドウモードでリロード * --zoom maxを追加（--bg-maxのようなズーミング）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

0.10.1 以降の変更：

- バグ修正 * zoom_default キーが
 --geometry と適切に動作するように修正。* 実際にキャプションを書き込む際に、キャプションディレクトリのみを作成。
 <http://github.com/derf/feh/issues/42> * デフォルトで、「ランダム」ではなく、ファイル名でソートされたディレクトリコンテンツを読み込みます（readdir で返されるため）。talisein に感謝しています！<https://github.com/derf/feh/pull/20> * 特定の警告を画像ウィンドウやコマンドラインで表示 <http://github.com/derf/feh/issues/43> * NETWM 全画面サポート用パッチを、全画面のウィンドウにのみ適用されるように変更。これは、fluxbox の移動するウィンドウのバグも修正しています（fluxbox はウィンドウのボーダー幅を報告しないため）。
 <http://github.com/derf/feh/issues/22> <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=570903 > * マイナーな man ページの修正。
 <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=625683 > * --auto-zoom / --zoom max/fill ドキュメンテーションを修正。次のオプションが使用されると、「Auto-Zoom」メニューオプションは常に、チェックされるようになりました。* Set _NET_WM_NAME および
 _NET_WM_ICON_NAME プロパティ <http://github.com/derf/feh/issues/44> * zoom_default が --scale-down で正常に動作するようになりました。 <http://github.com/derf/feh/issues/41> * 継続的テーマ定義処理にある初期化されていないメモリのアクセス / malloc/realloc の不整合を修正。未定義の動作を発生させるために使用される、1 つのオプション/値のペアを持つテーマライン * 画像関連のフォーマット指定子（例：%h）が -- title で使用される際に、ロード
できない画像で発生するセグメンテーション違反を修正 * リロードでの Imlib2 キャッシングのバグを修正（以前は、2 度目の試行後にのみ動作) * キャッシュ済みサムネイルで適切な画像寸法を表示 * --scale-down 使用時のズームを修正 * 同じズーム比を使用するようにズームイン/アウトを修正

- 動作の変更/互換性 * --menu-style が非推奨になりました * --menu-bg オプションが非推奨になりました。
 2012 年末までに、--menu-style とともになくなります。<http://github.com/derf/feh/issues/27> * マニュアルが -- help 出力と比べ、よく構成され、より詳細に記述されているため、今後はマニュアルを参照します。* 「A」キー（toggle_aliasing）は実際には、新しいウィンドウのデフォルトだけでなく、現在のウィンドウを変更します。
 * ファイルの引数なしで呼び出される際は、現在のディレクトリ内で画像を表示します。* --bg オプションは、Xinerama 対応となりました。これは、各 Xiinerama 画面において関連したモード（scale/fill/max/center）で画像を設定します。--no-xinerama を使用して、これを無効化します。* -auto-zoom と同等の --zoom fill を追加 * builtin http クライアント（--builtin）を削除 * http 画像は wget ではなく、libccurl を使用して表示されるようになりました（talisein による変更） これは依存関係として libcurl を追加し、wget 推奨を削除します * コマンドラインオプションが、テーマで設定されたものに優先することを許可 * FEH_OPTIONS のサポートを削除（6 年以上前に非推奨になっていた） * Control/Mod1/Mod4 に対して利用できる修飾子を制限 * テーマが、~/.config/feh/themes から読み込まれるようになりました（.fehrc の BC が存在） * キーバイディングを、~/.config/feh/keys から構成できるようになりました * --rcpath を削除し、代わりに XDG_CONFIG_HOME を使用 * Ctrl++Left などの移動ステップを増加

- 機能 * サムネイルの操作に next/prev/jump キーを使用できるようになりました。レンダーキーを使用して、現在選択しているサムネイルを開きます。
 <http://github.com/derf/feh/issues/26> * アンチエイリアスを無効にするオプション、グローバル（--force-aliasing）または画像ごと（「A」を押してキーバインディング toggle_aliasing を切り替え）* SIGUSR1/SIGUSR2 を使用して全画像をマルチウィンドウモードでリロード * --zoom max を追加（--bg-max のようなズーミング）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201110-08（feh：複数の脆弱性）

    feh で複数の脆弱性が発見されました。詳細については、以下に記載されているCVE識別番号を参照してください。
  影響：

    悪意のあるエンティティがユーザーを騙して、
      --wget-timestampオプションを使用してURLにアクセスさせ、シェルのメタ文字を介して任意のコマンドを実行する可能性があります。悪意のあるローカルユーザーがシンボリックリンク攻撃を行い、任意のファイルを上書きする可能性があります。
  回避策：

    現時点では、既知の回避策はありません。

0.10.1 版本以来的变更：

- 缺陷补丁 * 使 zoom_default 键在几何图形中 --正常运作 * 实际写出标题时仅创建标题目录。
 <http://github.com/derf/feh/issues/42> * 读取目录内容时按文件名排序而非默认的随机排序（readdir 返回的情况）。感谢 talisein！<https://github.com/derf/feh/pull/20> * 在图片窗口和命令行中显示警告 <http://github.com/derf/feh/issues/43> * 将支持 NETWM 全屏的修补程序变更为仅应用于全屏窗口。这修复了 fluxbox 中的移动窗口缺陷（因为 fluxbox 未报告其窗口的边框宽度）。
 <http://github.com/derf/feh/issues/22> <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=570903 > * 关于 manpage 的次要补丁。
 <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=625683> * 修复了 --auto-zoom / --zoom max/fill 文档，“Auto-Zoom”菜单选项在使用时始终保持选中状态。* 设置 _NET_WM_NAME 和 _NET_WM_ICON_NAME 属性 <http://github.com/derf/feh/issues/44> * zoom_default 键现在与 --scale-down 配合良好 <http://github.com/derf/feh/issues/41> * 修复了对连续主题定义处理中未初始化内存/内存分配/内存再分配冲突的访问。使用仅具有一个选项/对值的主题行生成未定义行为 * 修复了在标题中使用与图像相关格式说明符（如 %h）时，无法加载图像上的段错误 -- * 修复了重新加载（仅在第二次尝试后有效）时的 Imlib2 缓存缺陷 * 显示缓存缩略图的正确图像尺寸 * 修复了使用“--scale-down”时的缩放问题 * 放大/缩小使用相等的缩放比例

- 行为变更/兼容性 * 现已弃用“--menu-style” * 已弃用“--menu-bg”选项。
 此项将于 2012 年末与“--menu-style”一并删除。<http://github.com/derf/feh/issues/27> * 由于手册结构更好并且比“--help”输出更详细，因此现在仅参考手册即可。* “A”键 (toggle_aliasing) 目前实际上变更了当前窗口，而不仅仅是默认的新建窗口 * 如果调用时不带文件参数，则在当前目录中显示图像 * “--bg”选项现在为 Xinerama。即，在每个 Xinerama 屏幕上的响应模式（比例/填充/最大值/中心点）下设置图像。使用 --no-xinerama 可禁用此项。* 添加等同于 --auto-zoom 的 --zoom 填充 * 删除内建 http 客户端 (--builtin) * 现在使用 libcurl 而不是 wget 查看 http 图像（感谢 talisein）。这添加了 libcurl 作为依存关系，并删除了 wget 建议 * 允许命令行选项替代主题行中的上述设置 * 删除对 FEH_OPTIONS（5 年前已弃用）的支持 * 限制 Control/Mod1/Mod4 的可用修饰符 * 目前从 ~/.config/feh/themes 读取主题（存在 .fehrc 的二进制码） * 目前可通过 ~/.config/feh/keys 配置键绑定 * 删除“--rcpath”，转而使用 XDG_CONFIG_HOME * 增大 Ctrl+Left 等组合键的移动幅度。

- 功能 * 您现在可使用 next/prev/jump 键导航缩略图。使用渲染键打开当前选中的缩略图。
 <http://github.com/derf/feh/issues/26> * 禁用消除锯齿的选项，可以全局禁用 (--force-aliasing) 或按每个图像禁用（按“A”切换，键绑定 toggle_aliasing） * 在多窗口模式下使用 SIGUSR1/SIGUSR2 重新加载所有图像 * 添加 --zoom max（类似于 --bg-max 中的缩放）

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

0.10.1 後的變更：

- 修正錯誤 * 使 zoom_default 金鑰能與
 --geometry 正確配合 * 只有在實際寫出標題時，才會建立標題目錄。
 <http://github.com/derf/feh/issues/42> * 讀取以檔案名稱排序的目錄內容，而非依預設「隨機」(如 readdir 傳回的樣子) 排序。感謝 talisein！<https://github.com/derf/feh/pull/20> * 在影像視窗和命令行中顯示特定警告 <http://github.com/derf/feh/issues/43> * 將 NETWM 全螢幕支援的修補程式改為只套用至全螢幕視窗。此可修正 fluxbox 中的移動視窗錯誤 (因為 fluxbox 並未報告其視窗邊界寬度)。
 <http://github.com/derf/feh/issues/22> <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=570903 > * manpage 小型修正。
 <http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=625683> * 修正 --auto-zoom / --zoom max/fill 文件，當這些選項被使用時，會隨時檢查 [自動縮放] 功能表選項 * 設定 _NET_WM_NAME 和
 _NET_WM_ICON_NAME 內容 <http://github.com/derf/feh/issues/44> * zoom_default 金鑰現可正確配合 --scale-down <http://github.com/derf/feh/issues/41> * 修正未初始化記憶體/持續主題定義處理中的 malloc/realloc 衝突。使只包含一個選項/值對的主題行用來產生未定義的行為 * 修正影像相關格式指定名稱 (如 %h) 用於 --title 時出現的無法載入影像分割錯誤
 * 修正重新載入中的 Imlib2 快取錯誤 (只在第二次嘗試後執行) * 顯示快取縮圖的正確影像尺寸 * 修正使用 --scale-down 時的縮放 * 使放大/縮小使用相同的縮放比率

- 行為變更/相容性 * --menu-style 現在已過時 * --menu-bg 選項已過時。
 會在 2012 年底與 --menu-style 一併移除。<http://github.com/derf/feh/issues/27> * 由於手冊結構比 --help 輸出更加完整且詳細，因此現在僅需參照手冊即可。* [A] 按鍵 (toggle_aliasing) 現在可實際變換目前的視窗，不只是新視窗的預設設定
 * 在沒有檔案引數的情況下叫用影像時，影像會出現在目前的目錄中 * --bg 選項現在採用 Xinerama。意即，這些選項在每個 Xinerama 畫面的各自模式 (scale/fill/max/center) 中設定影像。如需停用，請使用 --no-xinerama。* 新增相當於 --auto-zoom 的 --zoom 填滿 * 移除 builtin http 用戶端 (--builtin) * http 影像現在是使用 libcurl 檢視，而非 wget (感謝 talisein)，這會將 libcurl 新增為相依性，並移除 wget 建議 * 允許命令行選項覆寫在主題中設定的選項 * 移除 FEH_OPTIONS 的支援 (其在五年多前就已過時) * 將可用的修飾詞限於 Control/Mod1/Mod4 * 主題現在是從 ~/.config /feh/themes 讀取 (存有 .fehrc 的 BC) * 按鍵繫結現可透過 ~/.config/feh/keys 設定 * 移除 --rcpath，轉而使用 XDG_CONFIG_HOME * 增加 Ctrl+Left 等的動作步驟

- 功能 * 您現可使用 [下一張]/[上一張]/[跳到] 按鍵來瀏覽縮圖。使用轉譯按鍵來打開目前所選的縮圖。
 <http://github.com/derf/feh/issues/26> * 針對全域 (--force-aliasing) 或個別影像停用消除鋸齒的選項 (按下 [A] 切換，設定 toggle_aliasing 按鍵繫結) * 使用 SIGUSR1/SIGUSR2 重新載入多視窗模式中的所有影像 * 新增 --zoom 最大值 (如在 --bg-max 中縮放)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程主机受到 GLSA-201110-08 中所述漏洞的影响（feh：多种漏洞）

在 feh 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

恶意实体可能会引诱用户使用
 --wget-timestamp 选项访问 URL，进而通过 shell 元字符执行任意命令；恶意的本地用户可执行符号链接攻击并覆盖任意文件。
 变通方案：

目前无任何已知的变通方案。

遠端主機受到 GLSA-201110-08 中所述的弱點影響 (feh：多個弱點)

在 feh 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

惡意實體可能會引誘使用者使用
 --wget-timestamp 選項造訪 URL，進而透過 shell 詮釋字元執行任意命令；惡意本機使用者可執行符號連結攻擊並覆寫任意檔案。
 因應措施：

目前尚無已知的因應措施。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
56501	GLSA-201110-08 : feh: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2011/10/14	2021/1/6	medium
55499	Fedora 15 : feh-1.14.1-1.fc15 (2011-8750)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55498	Fedora 14 : feh-1.14.1-1.fc14 (2011-8747)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55498	Fedora 14：feh-1.14.1-1.fc14（2011-8747）	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55499	Fedora 15：feh-1.14.1-1.fc15（2011-8750）	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
56501	GLSA-201110-08：feh：複数の脆弱性	Nessus	Gentoo Local Security Checks	2011/10/14	2021/1/6	medium
55498	Fedora 14：feh-1.14.1-1.fc14 (2011-8747)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55498	Fedora 14：feh-1.14.1-1.fc14 (2011-8747)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55499	Fedora 15：feh-1.14.1-1.fc15 (2011-8750)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
55499	Fedora 15：feh-1.14.1-1.fc15 (2011-8750)	Nessus	Fedora Local Security Checks	2011/7/5	2021/1/11	low
56501	GLSA-201110-08：feh：多种漏洞	Nessus	Gentoo Local Security Checks	2011/10/14	2021/1/6	medium
56501	GLSA-201110-08：feh：多個弱點	Nessus	Gentoo Local Security Checks	2011/10/14	2021/1/6	medium

検出

プラグインの検索

medium

low

low

low

low

medium

low

low

low

low

medium

medium