It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2023-007 advisory.

  - A flaw was found in the xdg-email component of xdg-utils-1.1.0-rc1 and newer. When handling mailto: URIs,     xdg-email allows attachments to be discreetly added via the URI when being passed to Thunderbird. An     attacker could potentially send a victim a URI that automatically attaches a sensitive file to a new     email. If a victim user does not notice that an attachment was added and sends the email, this could     result in sensitive information disclosure. It has been confirmed that the code behind this issue is in     xdg-email and not in Thunderbird. (CVE-2020-27748)

  - When xdg-mail is configured to use thunderbird for mailto URLs, improper parsing of the URL can lead to     additional headers being passed to thunderbird that should not be included per RFC 2368. An attacker can     use this method to create a mailto URL that looks safe to users, but will actually attach files when     clicked. (CVE-2022-4055)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - xdg-utils: local file inclusion vulnerability (CVE-2020-27748)

  - xdg-utils: improper parse of mailto URIs allows bypass of Thunderbird security mechanism for attachments     (CVE-2022-4055)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

したがって、ALAS2023-2023-007 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - xdg-utils-1.1.0-rc1 以降の xdg-email コンポーネントに欠陥が見つかりました。mailto:  URI、xdg-email を処理する場合、添付ファイルが Thunderbird に渡される際に、URI を介して慎重に追加される可能性があります。攻撃者は、機密ファイルを新しいメールに自動的に添付する URI を被害者に送信する可能性があります。被害者のユーザーが添付ファイルが追加されたことに気付かず、メールを送信すると、機密情報が漏洩する可能性があります。この問題の背後にあるコードは、Thunderbird ではなく xdg-email にあることが確認されています。(CVE-2020-27748)

  - xdg-mail が mailto URL に thunderbird を使用するように構成されている場合、URL の不適切な解析により、RFC 2368 に記載されていない追加のヘッダーが thunderbird に渡される可能性があります。攻撃者はこのメソッドを使用して、ユーザーには安全に見える mailto URL を作成できますが、実際にはクリックするとファイルが添付されます。(CVE-2022-4055)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている xdg-utils のバージョンは 1.1.0-0.17.20120809git よりも前です。したがって、ALAS2-2023-2002 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - xdg-utils-1.1.0-rc1 以降の xdg-email コンポーネントに欠陥が見つかりました。mailto:  URI、xdg-email を処理する場合、添付ファイルが Thunderbird に渡される際に、URI を介して慎重に追加される可能性があります。攻撃者は、機密ファイルを新しいメールに自動的に添付する URI を被害者に送信する可能性があります。被害者のユーザーが添付ファイルが追加されたことに気付かず、メールを送信すると、機密情報が漏洩する可能性があります。この問題の背後にあるコードは、Thunderbird ではなく xdg-email にあることが確認されています。(CVE-2020-27748)

  - xdg-mail が mailto URL に thunderbird を使用するように構成されている場合、URL の不適切な解析により、RFC 2368 に記載されていない追加のヘッダーが thunderbird に渡される可能性があります。攻撃者はこのメソッドを使用して、ユーザーには安全に見える mailto URL を作成できますが、実際にはクリックするとファイルが添付されます。(CVE-2022-4055)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

因此，它受到公告 ALAS2023-2023-007 中提及的多个漏洞影响。

  - 在 xdg-utils-1.1.0-rc1 及更新版本的 xdg-email 组件中发现一个缺陷。处理 mailto: URI 时，xdg-email 允许在向 Thunderbird 传递附件的同时通过 URI 谨慎添加。攻击者可能会向受害者发送一个 URI，该 URI 会自动将敏感文件附加到新的电子邮件中。如果受害用户未注意到附件已添加而发送了电子邮件，则可能导致敏感信息泄漏。经确认，此问题背后的代码存在于 xdg-email 而不是 Thunderbird 中。(CVE-2020-27748)

  - 当 xdg-mail 被配置为对 mailto URL 使用 Thunderbird 时，未正确解析 URL 会导致其他标头被传递给 Thunderbird，而根据 RFC 2368 的要求，这些标头不应包含在内。使用此方法，攻击者可创建对用户而言看似安全但实际点击却会附加文件的 mailto URL。(CVE-2022-4055)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The version of xdg-utils installed on the remote host is prior to 1.1.0-0.17.20120809git. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2023-2002 advisory.

  - A flaw was found in the xdg-email component of xdg-utils-1.1.0-rc1 and newer. When handling mailto: URIs,     xdg-email allows attachments to be discreetly added via the URI when being passed to Thunderbird. An     attacker could potentially send a victim a URI that automatically attaches a sensitive file to a new     email. If a victim user does not notice that an attachment was added and sends the email, this could     result in sensitive information disclosure. It has been confirmed that the code behind this issue is in     xdg-email and not in Thunderbird. (CVE-2020-27748)

  - When xdg-mail is configured to use thunderbird for mailto URLs, improper parsing of the URL can lead to     additional headers being passed to thunderbird that should not be included per RFC 2368. An attacker can     use this method to create a mailto URL that looks safe to users, but will actually attach files when     clicked. (CVE-2022-4055)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has one or more packages installed that are affected by a vulnerability that has been acknowledged by the vendor but will not be patched.

  - xdg-utils: improper parse of mailto URIs allows bypass of Thunderbird security mechanism for attachments     (CVE-2022-4055)

Note that Nessus has not tested for this issue but has instead relied on the package manager's report that the package is installed.

因此，它受到 ALAS2023-2023-007 公告中所提及的多個弱點影響。

  - 在 xdg-utils-1.1.0-rc1 和更新版本的 xdg-email 元件中發現一個缺陷。處理 mailto: URIs 時，xdg-email 允許在向 Thunderbird 傳送郵件時透過 URI 不引人注意地新增附件。攻擊者可能會傳送給受害者一個 URI，而此 URI 會在新電子郵件中自動附加敏感檔案。如果受害使用者未發現新增的附件並傳送電子郵件，這可能會導致敏感資訊洩漏。現已確認此問題背後的程式碼位於 xdg-email 中，而非 Thunderbird 中。(CVE-2020-27748)

  - 若將 xdg-mail 設定為使用 thunderbird 處理 mailto URL ，則不當剖析 URL 可導致將其他標頭傳遞至 RFC 2368 不應包含的 Thunderbird。攻擊者可使用此方法建立對使用者而言看似安全的 mailto URL，當使用者按下此 URL 時則會附加檔案。(CVE-2022-4055)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 xdg-utils 版本低於 1.1.0-0.17.20120809git。因此，它受到 ALAS2-2023-2002 公告中所提及的多個弱點影響。

  - 在 xdg-utils-1.1.0-rc1 和更新版本的 xdg-email 元件中發現一個缺陷。處理 mailto: URIs 時，xdg-email 允許在向 Thunderbird 傳送郵件時透過 URI 不引人注意地新增附件。攻擊者可能會傳送給受害者一個 URI，而此 URI 會在新電子郵件中自動附加敏感檔案。如果受害使用者未發現新增的附件並傳送電子郵件，這可能會導致敏感資訊洩漏。現已確認此問題背後的程式碼位於 xdg-email 中，而非 Thunderbird 中。(CVE-2020-27748)

  - 若將 xdg-mail 設定為使用 thunderbird 處理 mailto URL ，則不當剖析 URL 可導致將其他標頭傳遞至 RFC 2368 不應包含的 Thunderbird。攻擊者可使用此方法建立對使用者而言看似安全的 mailto URL，當使用者按下此 URL 時則會附加檔案。(CVE-2022-4055)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 xdg-utils 版本低于 1.1.0-0.17.20120809git。因此，它受到公告 ALAS2-2023-2002 中提及的多个漏洞影响。

  - 在 xdg-utils-1.1.0-rc1 及更新版本的 xdg-email 组件中发现一个缺陷。处理 mailto: URI 时，xdg-email 允许在向 Thunderbird 传递附件的同时通过 URI 谨慎添加。攻击者可能会向受害者发送一个 URI，该 URI 会自动将敏感文件附加到新的电子邮件中。如果受害用户未注意到附件已添加而发送了电子邮件，则可能导致敏感信息泄漏。经确认，此问题背后的代码存在于 xdg-email 而不是 Thunderbird 中。(CVE-2020-27748)

  - 当 xdg-mail 被配置为对 mailto URL 使用 Thunderbird 时，未正确解析 URL 会导致其他标头被传递给 Thunderbird，而根据 RFC 2368 的要求，这些标头不应包含在内。使用此方法，攻击者可创建对用户而言看似安全但实际点击却会附加文件的 mailto URL。(CVE-2022-4055)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
173127	Amazon Linux 2023 : xdg-utils (ALAS2023-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	high
199171	RHEL 8 : xdg-utils (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
173127	Amazon Linux 2023 : xdg-utils を参照してください (ALAS2023-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	high
173234	Amazon Linux 2: xdg-utils を参照してください (ALAS-2023-2002)	Nessus	Amazon Linux Local Security Checks	2023/3/22	2023/4/20	high
173127	Amazon Linux 2023：xdg-utils (ALAS2023-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	high
173234	Amazon Linux 2 : xdg-utils (ALAS-2023-2002)	Nessus	Amazon Linux Local Security Checks	2023/3/22	2023/4/20	high
199155	RHEL 9 : xdg-utils (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
173127	Amazon Linux 2023：xdg-utils (ALAS2023-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	high
173234	Amazon Linux 2：xdg-utils (ALAS-2023-2002)	Nessus	Amazon Linux Local Security Checks	2023/3/22	2023/4/20	high
173234	Amazon Linux 2：xdg-utils (ALAS-2023-2002)	Nessus	Amazon Linux Local Security Checks	2023/3/22	2023/4/20	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high