リモートの Fedora 39 ホストには、FEDORA-2024-661a8bb3b0 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2023-49606 の upstream パッチをバックポートしてください。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-aa3631a416 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 1.11.2 に更新して CVE-2023-49606 を修正します。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 15 ホストには、openSUSE-SU-2024:0119-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.8.3 以前の Tinyproxy により、リモートの攻撃者は、(1) 多数のヘッダーまたは (2) 予測通りにハッシュ衝突を誘発する多数の偽造ヘッダーを通じて、サービス拒否 (CPU 消費とメモリ消費) を引き起こす可能性があります。(CVE-2012-3505)

  - Tinyproxy 1.8.4 以前の main.c において、非 root アカウントに対する権限を削除した後に /run/tinyproxy/tinyproxy.pid ファイルが作成されていました。それにより、ローカルユーザーがこの非 root アカウントへのアクセス権限を利用して、root スクリプトが 'kill `cat /run/tinyproxy/tinyproxy.pid`' のコマンドを実行する前に tinyproxy.pid に変更を加えることにより、任意のプロセスを kill する可能性がありました。(CVE-2017-11747)

  - 特別な非標準変数を含むカスタムエラーページテンプレートが使用された場合に、残っているヒープデータが漏洩する可能性があります。Tinyproxy コミット 84f203f 以前は、process_request() 関数で初期化されていないバッファを使用します。(CVE-2022-40468)

  - 拒否理由: この CVE ID は CVE-2022-40468 の重複です (CVE-2023-40533)

  - Tinyproxy 1.11.1 および Tinyproxy 1.10.0の HTTP 接続ヘッダー解析に、メモリ解放後使用 (Use-After-Free) の脆弱性が存在します。特別に細工された HTTP ヘッダーにより、以前解放されたメモリの再利用を引き起こす可能性があります。これにより、メモリが破損したり、リモートでコードが実行されたりする可能性があります。攻撃者がこの脆弱性を引き起こすには、認証されていない HTTP リクエストを行う必要があります。(CVE-2023-49606)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには USN-7190-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Tinyproxy が HTTP 接続ヘッダーの解析中にメモリを適切に管理しないことがわかりました。攻撃者がこの問題を悪用して、DoS を引き起こしたり、任意のコードを実行したりする可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5705 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5705-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 6 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : tinyproxy CVE ID: CVE-2023-49606

    軽量でキャッシュしない場合にオプションで匿名化できる HTTP プロキシである tinyproxy で、メモリ解放後使用 (Use After Free) が検出されました。これにより、サービス拒否が発生する可能性があります。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 1.11.1-2.1+deb12u1 で修正されています。

    お使いの tinyproxy のパッケージをアップグレードすることを推奨します。

    tinyproxy の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/tinyproxy

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3892 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS Advisory DLA-3892-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2024 年 9 月 18 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : tinyproxy バージョン : 1.10.0-5+deb11u1 CVE ID : CVE-2022-40468 CVE-2023-49606


    軽量で非キャッシングで、オプションで匿名化できる HTTP プロキシである tinyproxy に 2 つの問題が見つかりました。
    これらは、GTTP 接続のヘッダー解析におけるメモリ解放後使用 (use after free) と、残存したヒープデータの漏洩の可能性に関連しています。



    Debian 11 bullseye においては、これらの問題はバージョン 1.10.0-5+deb11u1 で修正されました。

    お使いの tinyproxy のパッケージをアップグレードすることを推奨します。

    tinyproxy の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/tinyproxy

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
204759	Fedora 39: tinyproxy (2024-661a8bb3b0)	Nessus	Fedora Local Security Checks	2024/7/26	2024/7/26	critical
204762	Fedora 40: tinyproxy (2024-aa3631a416)	Nessus	Fedora Local Security Checks	2024/7/26	2024/7/26	critical
195342	openSUSE 15 セキュリティ更新: tinyproxy (openSUSE-SU-2024:0119-1)	Nessus	SuSE Local Security Checks	2024/5/11	2024/5/11	critical
213557	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Tinyproxy の脆弱性 (USN-7190-1)	Nessus	Ubuntu Local Security Checks	2025/1/8	2025/1/8	critical
200125	Debian dsa-5705 : tinyproxy - セキュリティ更新	Nessus	Debian Local Security Checks	2024/6/5	2024/6/5	critical
207396	Debian dla-3892 : tinyproxy - セキュリティ更新	Nessus	Debian Local Security Checks	2024/9/18	2025/8/25	high

検出

プラグインの検索

critical

critical

critical

critical

critical

high