リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:3810-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-49767: フォームのファイルデータを解析するときに発生する可能性のあるリソース枯渇を修正しました (bsc#1232449)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Werkzeug は、Web サーバーゲートウェイインターフェイスの Web アプリケーションライブラリです。「multipart/form-data」リクエストを解析するために 3.0.6 以前の Werkzeug のバージョンに対応する「werkzeug.formparser.MultiPartParser」を使用するアプリケーション例すべての Flask アプリケーションは、比較的単純だが効果的なリソース枯渇サービス拒否に脆弱です。可能性があります。特別に細工されたフォーム送信リクエストにより、パーサーがメインメモリでアップロードサイズの 3 8 倍を割り当て、ブロックする可能性があります。上限はありません。 1 G ビット/秒の 1 回のアップロードにより、60 秒未満で 32 GB の RAM を消費することができます。Werkzeug バージョン 3.0.6 では、この問題が修正されます。CVE-2024-49767

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Azure Linux 3.0 ホストにインストールされている python-werkzeug のバージョンは、テスト済みバージョン より前です。したがって、CVE-2024-49767 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Werkzeug は、Web サーバーゲートウェイインターフェイスの Web アプリケーションライブラリです。「multipart/form-data」リクエストを解析するために 3.0.6 以前の Werkzeug のバージョンに対応する「werkzeug.formparser.MultiPartParser」を使用するアプリケーション例すべての Flask アプリケーションは、比較的単純だが効果的なリソース枯渇サービス拒否に脆弱です。可能性があります。特別に細工されたフォーム送信リクエストにより、パーサーがメインメモリでアップロードサイズの 3 8 倍を割り当て、ブロックする可能性があります。上限はありません。 1 G ビット/秒の 1 回のアップロードにより、60 秒未満で 32 GB の RAM を消費することができます。Werkzeug バージョン 3.0.6 では、この問題が修正されます。CVE-2024-49767

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 22.04LTS/24.04 LTS/24.10ホストには、USN-7093-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Werkzeug が複数のフォーム送信リクエストを不適切に処理していることが判明しました。リモートの攻撃者がこの問題を悪用して Werkzeug にリソースを消費させ、サービス拒否を引き起こす可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているIBM Spectrum Protect Plus Web UIのバージョンは、 10.1.17.1 IBM Spectrum Protect Plusより前です。したがって、7237702のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - これは 9.0.0より前のパッケージ node-notifier に影響します。配列が渡されるときにオプションパラメーターがサニタイズされないため、攻撃者はLinuxマシンで任意のコマンドを実行する可能性があります。CVE-2020-7789

  - Flask は、軽量の WSGI ウェブアプリケーションフレームワークです。次の条件がすべて満たされた場合、あるクライアントを対象とするデータを含む応答がキャッシュされ、その後プロキシによって他のクライアントに送信される可能性があります。プロキシが「Set-Cookie」ヘッダーもキャッシュする場合、あるクライアントの「session」クッキーを他のクライアントに送信する可能性があります。深刻度は、アプリケーションのセッションの使用とクッキーに関するプロキシの動作に依存します。リスクは、これらのすべての条件が満たされているかどうかに依存します。1. アプリケーションは、クッキーを取り除いたり、クッキーのある応答を無視したりしないキャッシングプロキシの背後でホストされている必要があります。2. アプリケーションは「session.permanent = True」を設定します。3. リクエストのどの時点でも、アプリケーションはセッションにアクセスしたり、セッションを変更したりしません。4.「SESSION_REFRESH_EACH_REQUEST」を有効にしました (デフォルト)。5. アプリケーションは、ページがプライベートであることやキャッシュすべきでないことを示す「Cache-Control」ヘッダーを設定しません。これは、脆弱なバージョンのFlaskは、セッションがアクセスまたは変更されたときにのみ「Vary: Cookie」ヘッダーを設定し、アクセスまたは変更されずにリフレッシュされた場合有効期限を再送信される場合はしないために発生します。この問題はバージョン 2.3.2 および 2.2.5 で修正されています。(CVE-2023-30861)

  - Requests は HTTP ライブラリです。Requests 2.3.0以降では、Requests が HTTPS エンドポイントにリダイレクトされた際に、Proxy-Authorization ヘッダーが宛先サーバーに漏洩しています。これは、リクエストを「Proxy-Authorization」ヘッダーに再添付するために「rebuild_proxies」を使用する方法の製品です。トンネル経由で送信される HTTP 接続の場合、プロキシはリクエスト自体のヘッダーを識別し、宛先サーバーに転送する前にそれを削除します。ただし、プロキシはトンネル化されたリクエストを確認できないため、HTTPS 経由で送信するときは、CONNECT リクエストで「Proxy-Authorization」ヘッダーを送信する必要があります。これにより、リクエストが意図せずにプロキシ認証情報を宛先サーバーに転送し、悪意のある攻撃者が機密情報を漏洩させる可能性があります。この問題には、バージョン 2.31.0 でパッチが適用されています。
    (CVE-2023-32681)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
209954	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新: python-Werkzeug (SUSE-SU-2024:3810-1)	Nessus	SuSE Local Security Checks	2024/10/31	2024/11/6	medium
230988	Linux Distros のパッチ未適用の脆弱性: CVE-2024-49767	Nessus	Misc.	2025/3/6	2025/10/14	high
215390	Azure Linux 3.0 セキュリティ更新python-werkzeugCVE-2024-49767	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	medium
210372	Ubuntu 22.04 LTS / 24.04 LTS / 24.10 : Werkzeug の脆弱性 (USN-7093-1)	Nessus	Ubuntu Local Security Checks	2024/11/5	2024/11/5	medium
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 7237702	Nessus	Misc.	2025/6/25	2025/6/25	high

検出

プラグインの検索

medium

high

medium

medium

high