The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - xrdp is an open source RDP server. xrdp versions prior to 0.10.0 have a vulnerability that allows     attackers to make an infinite number of login attempts. The number of max login attempts is supposed to be     limited by a configuration parameter `MaxLoginRetry` in `/etc/xrdp/sesman.ini`. However, this mechanism     was not effectively working. As a result, xrdp allows an infinite number of login attempts.
    (CVE-2024-39917)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xrdp はオープンソースの RDP サーバーです。 0.10.0 より前のバージョンの xrdp には、攻撃者が無数のログイン試行を行うことを可能にする脆弱性があります。最大ログイン試行回数は、「/etc/xrdp/sesman.ini」の構成パラメーター「MaxLoginRetry」によって制限されることになっています。しかし、このメカニズムは効果的に機能していませんでした。結果として、xrdp はログイン試行を無制限に許可します。
    (CVE-2024-39917)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - xrdp 是開放原始碼 RDP 伺服器。 0.10.0 之前的 xrdp 版本有一個弱點，可允許攻擊者進行無限次數的登入嘗試。登入嘗試次數上限應該受到 `/etc/xrdp/sesman.ini` 中的組態參數 `MaxLoginRetry` 限制。不過，此機制並未有效運作。因此，xrdp 允許無限次登入嘗試。
    (CVE-2024-39917)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4166 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4166-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 5 月 16 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：xrdp 版本：0.9.21.1-1~deb11u2 CVE ID：CVE-2023-40184 CVE-2023-42822 CVE-2024-39917

    在遠端桌面通訊協定 (RDP) 伺服器 xrdp 中發現數個弱點


    CVE-2023-40184

        存在工作階段建立處理不當錯誤，允許攻擊者繞過 OS 層級的工作階段限制。「auth_start_session」 函式可在發生 (例如) PAM 錯誤時傳回非零值，其可導致攻擊者繞過工作階段限制。

    CVE-2023-42822

        對 xrdp_painter.c 中字型字符的存取未經過邊界檢查。由於部分此類資料可由使用者控制，因此可導致 xrdp 可執行檔內發生超出邊界讀取。此弱點允許攻擊者在可能具有權限的處理程序中進行超出邊界讀取。

    CVE-2024-39917

        存在一個允許攻擊者無限登入嘗試次數的弱點。登入嘗試次數上限應該受到 `/etc/xrdp/sesman.ini` 中的組態參數 `MaxLoginRetry` 限制。不過，此機制並未有效運作。因此，xrdp 允許無限次登入嘗試。

    針對 Debian 11 Bullseye，這些問題已在 0.9.21.1-1~deb11u2 版本中修正。

    建議您升級 xrdp 套件。

    如需有關 xrdp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xrdp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - xrdp 是开源 RDP 服务器。 0.10.0 之前的 xrdp 版本存在一个漏洞，允许攻击者进行无限次登录尝试。最大登录尝试次数应受到“/etc/xrdp/sesman.ini”中的配置参数“MaxLoginRetry”的限制。但是，此机制未有效运行。因此，xrdp 允许无限次的登录尝试。
    (CVE-2024-39917)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4166 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4166-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 5 月 16 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：xrdp 版本：0.9.21.1-1~deb11u2 CVE ID：CVE-2023-40184 CVE-2023-42822 CVE-2024-39917

    在远程桌面协议 (RDP) 服务器 xrdp 中发现多个漏洞


    CVE-2023-40184

        未正确处理会话建立错误可导致绕过操作系统级别的会话限制。`auth_start_session` 函数可以返回非零值（例如 PAM 错误），这可能会导致会话限制，例如绕过 PAM 每个用户的最大并发会话数。

    CVE-2023-42822

        对 xrdp_painter.c 中字体字形的访问不会受到边界检查。由于其中一些数据是由用户控制的，因此可能会导致 xrdp 可执行文件内的越界读取。该漏洞允许在潜在特权进程中进行越界读取。

    CVE-2024-39917

        允许攻击者进行无限登录尝试的漏洞。最大登录尝试次数应受到“/etc/xrdp/sesman.ini”中的配置参数“MaxLoginRetry”的限制。但是，此机制未有效运行。因此，xrdp 允许无限次的登录尝试。

    对于 Debian 11 bullseye，已在 0.9.21.1-1~deb11u2 版本中修复这些问题。

    建议您升级 xrdp 程序包。

    如需了解 xrdp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/xrdp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 11 ホストには、dla-4166 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4166-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 5 月 16 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : xrdp バージョン : 0.9.21.1-1~deb11u2 CVE ID : CVE-2023-40184 CVE-2023-42822 CVE-2024-39917

    リモートデスクトッププロトコル (RDP) サーバーである xrdp に複数の脆弱性が発見されました。


    CVE-2023-40184

        セッション確立エラーの不適切な処理により、OS レベルのセッション制限をバイパスできる可能性があります。「auth_start_session」関数は PAM エラー時にゼロ以外の値を返す可能性があり、その結果、PAM によるユーザーあたりの最大同時セッション数などのセッション制限が発生する可能性があります。

    CVE-2023-42822

        xrdp_painter.c のフォントグリフへのアクセスは、境界チェックされていません。このデータの一部はユーザーが制御できるため、xrdp 実行可能ファイル内で領域外読み取りが発生する可能性があります。この脆弱性により、権限を取得された可能性のあるプロセスで、領域外読み取りが可能になります。

    CVE-2024-39917

        攻撃者が無期限のログイン試行をすることを可能にする脆弱性。最大ログイン試行回数は、「/etc/xrdp/sesman.ini」の設定パラメーター「MaxLoginRetry」によって制限されることになっています。しかし、このメカニズムは効果的に機能していませんでした。結果として、xrdp はログイン試行を無期限に行うことができます。

    Debian 11 bullseye においては、これらの問題はバージョン 0.9.21.1-1~deb11u2 で修正されました。

    お使いの xrdp パッケージをアップグレードすることを推奨します。

    xrdpの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/xrdp

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/SLES_SAP15 ホストには、SUSE-SU-2025:0350-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-39917: require_credentials が設定されている場合、ログイン画面なしを強制します (bsc#1227769)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4166 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-4166-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                          Abhijith PA     May 16, 2025                                  https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : xrdp     Version        : 0.9.21.1-1~deb11u2     CVE ID         : CVE-2023-40184 CVE-2023-42822 CVE-2024-39917

    Several vulnerabilities were discovered in xrdp, a Remote Desktop     Protocol (RDP) server


    CVE-2023-40184

        improper handling of session establishment errors allows bypassing         OS-level session restrictions. The `auth_start_session` function         can return non-zero on PAM error which may result in in session         restrictions such as max concurrent sessions per user by PAM.

    CVE-2023-42822

        Access to the font glyphs in xrdp_painter.c is not bounds-checked         . Since some of this data is controllable by the user, this can         result in an out-of-bounds read within the xrdp executable. The         vulnerability allows an out-of-bounds read within a potentially         privileged process.

    CVE-2024-39917

        a vulnerability that allows attackers to make an infinite number         of login attempts. The number of max login attempts is supposed to         be limited by a configuration parameter `MaxLoginRetry` in         `/etc/xrdp/sesman.ini`. However, this mechanism was not         effectively working. As a result, xrdp allows an infinite number         of login attempts.

    For Debian 11 bullseye, these problems have been fixed in version     0.9.21.1-1~deb11u2.

    We recommend that you upgrade your xrdp packages.

    For the detailed security status of xrdp please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/xrdp

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2025:0350-1 advisory.

    - CVE-2024-39917: Enforce no login screen if require_credentials is set (bsc#1227769)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
228542	Linux Distros Unpatched Vulnerability : CVE-2024-39917	Nessus	Misc.	2025/3/5	2025/3/5	critical
228542	Linux Distros のパッチ未適用の脆弱性: CVE-2024-39917	Nessus	Misc.	2025/3/5	2025/3/5	critical
228542	Linux Distros 未修補弱點：CVE-2024-39917	Nessus	Misc.	2025/3/5	2025/3/5	critical
236872	Debian dla-4166：xrdp 安全性更新	Nessus	Debian Local Security Checks	2025/5/16	2025/5/16	critical
228542	Linux Distros 未修补的漏洞: CVE-2024-39917	Nessus	Misc.	2025/3/5	2025/3/5	critical
236872	Debian dla-4166：xrdp - 安全更新	Nessus	Debian Local Security Checks	2025/5/16	2025/5/16	critical
236872	Debian dla-4166 : xrdp - セキュリティ更新	Nessus	Debian Local Security Checks	2025/5/16	2025/5/16	critical
215171	SUSE SLES15 セキュリティ更新 : xrdp (SUSE-SU-2025:0350-1)	Nessus	SuSE Local Security Checks	2025/2/10	2025/2/10	critical
236872	Debian dla-4166 : xrdp - security update	Nessus	Debian Local Security Checks	2025/5/16	2025/5/16	critical
215171	SUSE SLES15 Security Update : xrdp (SUSE-SU-2025:0350-1)	Nessus	SuSE Local Security Checks	2025/2/10	2025/2/10	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical