The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS host has a package installed that is affected by a vulnerability as referenced in the USN-6282-1 advisory.

  - The default error page for VelocityView in Apache Velocity Tools prior to 3.1 reflects back the vm file     that was entered as part of the URL. An attacker can set an XSS payload file as this vm file in the URL     which results in this payload being executed. XSS vulnerabilities allow attackers to execute arbitrary     JavaScript in the context of the attacked website and the attacked user. This can be abused to steal     session cookies, perform requests in the name of the victim or for phishing attacks. (CVE-2020-13959)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS ホストにインストールされているパッケージは、USN-6282-1 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 3.1 より前の Apache Velocity Tools の VelocityView のデフォルトエラーページは、URL の一部として入力された vm ファイルを反映しています。攻撃者が XSS ペイロードファイルを URL のこの vm ファイルとして設定し、このペイロードを実行させる可能性があります。XSS の脆弱性により、攻撃者は、攻撃された Web サイトおよび攻撃されたユーザーのコンテキストで、任意の JavaScript を実行する可能性があります。これは、セッションクッキーを盗んだり、被害者の名前でリクエストを実行したり、フィッシング攻撃に悪用されたりする可能性があります。(CVE-2020-13959)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

「Velocity」テンプレートエンジン用の便利なツールのコレクションであるvelocity-toolsに、クロスサイトスクリプティング（XSS）の脆弱性があることが判明しました。

デフォルトのエラーページが悪用されて、セッションクッキーが盗まれたり、被害者の名前でリクエストが実行されたり、フィッシング攻撃や他の多くの同様の攻撃に使用される可能性があります。

Debian 9 'Stretch'では、この問題はバージョン2.0-6+deb9u1で修正されています。

お使いのvelocity-toolsパッケージをアップグレードすることを推奨します。

velocity-toolsの詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/velocity-tools

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote host is affected by the vulnerability described in GLSA-202107-52 (Apache Velocity: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Apache Velocity. Please       review the CVE identifiers referenced below for details.
  Impact :

    Please review the referenced CVE identifiers for details.
  Workaround :

    There is no known workaround at this time.

It was discovered that there was a cross-site scripting (XSS) vulnerability in velocity-tools, a collection of useful tools for the 'Velocity' template engine.

The default error page could be exploited to steal session cookies, perform requests in the name of the victim, used for phishing attacks and many other similar attacks.

For Debian 9 'Stretch', this problem has been fixed in version 2.0-6+deb9u1.

We recommend that you upgrade your velocity-tools packages.

For the detailed security status of velocity-tools please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/velocity-tools

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

远程 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS 主机上安装的一个程序包受到 USN-6282-1 公告中提及的一个漏洞影响。

  - 在低于 3.1 的 Apache Velocity Tools 中，VelocityView 的默认错误页面会反射回作为 URL 的一部分输入的 vm 文件。攻击者可将 XSS 负载文件设置为 URL 中的此 vm 文件，这会造成程序执行此负载。攻击者可利用 XSS 漏洞在受攻击网站和用户的上下文中执行任意 JavaScript。攻击者可滥用此漏洞来窃取会话 cookie、以受害者的名义执行请求或进行钓鱼攻击。(CVE-2020-13959)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS 主機上安裝的套件受到 USN-6282-1 公告中所提及的一個弱點影響。

  - 在 3.1 之前的 Apache Velocity Tools 中，VelocityView 的預設錯誤頁面會反映作為 URL 一部分輸入的 vm 檔案。攻擊者可在 URL 中將 XSS 承載檔案設定為此 vm 檔案，進而導致程式執行此承載。攻擊者可利用 XSS 弱點，在受攻擊網站和受攻擊使用者的內容中執行任意 JavaScript。也可濫用此弱點來竊取工作階段 Cookie、以受害者的名義執行要求或發動網路釣魚攻擊。(CVE-2020-13959)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在「Velocity」範本引擎的實用工具集合 Velocity-tools 中發現一個跨網站指令碼 (XSS) 弱點。

惡意使用者可利用預設錯誤頁面來竊取工作階段 Cookie、以受害者的名義執行要求、執行網路釣魚攻擊和許多其他類似的攻擊。

針對 Debian 9「Stretch」，已在 2.0-6+deb9u1 版本中修正此問題。

建議您升級 velocity-tools 套件。

如需有關 velocity-tools 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/velocity-tools

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-202107-52 中所述的弱點影響 (Apache Velocity：多個弱點)

    已在 Apache Velocity 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

据发现，适用于“Velocity”模板引擎的有用工具集合 velocity-tools 中存在一个跨站脚本 (XSS) 漏洞。

可利用默认错误页面窃取会话 Cookie、以受害者名义执行请求、用于钓鱼攻击和许多其他类似攻击。

对于 Debian 9 Stretch，已在版本 2.0-6+deb9u1 中修复此问题。

我们建议您升级 velocity-tools 程序包。

如需了解 velocity-tools 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/velocity-tools

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机受到 GLSA-202107-52 中所述漏洞的影响（Apache Velocity：多个漏洞）

    在 Apache Velocity 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
179660	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS : Velocity Tools vulnerability (USN-6282-1)	Nessus	Ubuntu Local Security Checks	2023/8/10	2023/8/10	medium
179660	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS : Velocity Tools の脆弱性 (USN-6282-1)	Nessus	Ubuntu Local Security Checks	2023/8/10	2023/8/10	medium
147898	Debian DLA-2597-1 : velocity-toolsのセキュリティ更新	Nessus	Debian Local Security Checks	2021/3/19	2024/1/12	medium
154715	GLSA-202107-52 : Apache Velocity: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2021/10/29	2023/12/21	high
147898	Debian DLA-2597-1 : velocity-tools security update	Nessus	Debian Local Security Checks	2021/3/19	2024/1/12	medium
179660	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS：Velocity Tools 漏洞 (USN-6282-1)	Nessus	Ubuntu Local Security Checks	2023/8/10	2023/8/10	medium
179660	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS：Velocity Tools 弱點 (USN-6282-1)	Nessus	Ubuntu Local Security Checks	2023/8/10	2023/8/10	medium
147898	Debian DLA-2597-1：velocity-tools 安全性更新	Nessus	Debian Local Security Checks	2021/3/19	2024/1/12	medium
154715	GLSA-202107-52：Apache Velocity：多個弱點	Nessus	Gentoo Local Security Checks	2021/10/29	2023/12/21	high
147898	Debian DLA-2597-1：velocity-tools 安全更新	Nessus	Debian Local Security Checks	2021/3/19	2024/1/12	medium
154715	GLSA-202107-52：Apache Velocity：多个漏洞	Nessus	Gentoo Local Security Checks	2021/10/29	2023/12/21	high

検出

プラグインの検索

medium

medium

medium

high

medium

medium

medium

medium

high

medium

high