远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2022: 4661 公告中提及的一个漏洞影响。

  - sinatra：提供静态文件时，可能在 public_dir 之外进行路径遍历 (CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到公告 ALSA-2022:4661 中提及的漏洞的影响。

  - 提供静态文件时，低于 2.2.0 版本的 Sinatra 不会验证扩展路径是否匹配 public_dir。(CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2022:4661 中提及的漏洞的影响。

  - 提供静态文件时，低于 2.2.0 版本的 Sinatra 不会验证扩展路径是否匹配 public_dir。(CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2022: 2255 公告。

  - sinatra: path traversal possible outside of public_dir when serving static files (CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2022: 4587 公告中提及的一个漏洞影响。

  - sinatra：提供静态文件时，可能在 public_dir 之外进行路径遍历 (CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2022:8506 公告中提及的多个漏洞影响。

  - netty-codec：Bzip2Decoder 不允许为解压缩的数据设置大小限制 (CVE-2021-37136)

  - netty-codec：SnappyFrameDecoder 不限制区块长度，并且可能以不必要的方式缓冲可跳过的区块 (CVE-2021-37137)

  - django：可能通过“{% debug %}”模板标签进行 XSS (CVE-2022-22818)

  - nokogiri：HTML 编码检测中的 ReDoS (CVE-2022-24836)

  - ruby-git：程序包容易受到通过 git 参数注入触发的命令注入攻击 (CVE-2022-25648)

  - rubygem-nokogiri：不当处理 Nokogiri 中的非预期数据类型 (CVE-2022-29181)

   sinatra：提供静态文件时，可能在 public_dir 之外进行路径遍历 (CVE-2022-29970)

  - rubygem-rails-html-sanitizer：某些配置可能导致 xss (CVE-2022-32209)

  - python-django：可能通过 Trunc(kind) 和 Extract(lookup_name) 参数引发 SQL 注入 (CVE-2022-34265)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2022: 2255 公告中提及的一個弱點影響。

  - sinatra：提供靜態檔案時，可能在 public_dir 之外引發路徑遊走 (CVE-2022-29970)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Rocky Linux 8 主機已安裝受 RLSA-2022:4661 公告中所提及一個弱點影響的套件。

  - Sinatra 2.2.0 之前版本在提供靜態檔案時，無法驗證展開的路徑是否符合 public_dir。(CVE-2022-29970)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2022: 4587 公告中提及的一個弱點影響。

  - sinatra：提供靜態檔案時，可能在 public_dir 之外引發路徑遊走 (CVE-2022-29970)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2022:8506 公告中提及的多個弱點影響。

  - netty-codec：Bzip2Decoder 不允許設定解壓縮資料的大小限制 (CVE-2021-37136)

  - netty-codec：SnappyFrameDecoder 不會限制區塊長度，而且可能會以不必要的方式緩衝可跳過的區塊 (CVE-2021-37137)

  - django：可能透過「{% debug %}」範本標籤引致 XSS (CVE-2022-22818)

  - nokogiri：HTML 編碼偵測中的 ReDoS (CVE-2022-24836)

  - ruby-git：套件容易受到透過 git 引數插入觸發的命令插入弱點影響 (CVE-2022-25648)

  - rubygem-nokogiri：Nokogiri 中非預期資料類型的不當處理 (CVE-2022-29181)

  - sinatra：提供靜態檔案時，可能在 public_dir 之外引發路徑遊走 (CVE-2022-29970)

  - rubygem-rails-html-sanitizer: possible xss with certain configurations (CVE-2022-32209)

  - python-django：可能透過 Trunc(kind) 和 Extract(lookup_name) 引數發生 SQL 插入 (CVE-2022-34265)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的多个程序包受到 dla-3877 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3877-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2024 年 9 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：ruby-sinatra 版本：2.0.8.1-2+deb11u1 CVE ID：CVE-2022-29970 CVE-2022-45442 Debian 缺陷：1014717 1070953

    Sinatra 是针对 Ruby 编程语言的开源 Web 框架。

    CVE-2022-29970

        发现文件遍历漏洞。我们现在会在提供静态文件时，验证是否有任何扩展路径匹配允许的“public_dir”。

    CVE-2022-45442

        据发现，存在潜在的反射文件下载 (RFD) 漏洞。从可能由用户提供的文件名错误地衍生出 Content-Disposition HTTP 标头。

    对于 Debian 11 bullseye，已在 2.0.8.1-2+deb11u1 版本中修复这些问题。

    我们建议您升级 ruby-sinatra 程序包。

    如需了解 ruby-sinatra 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby-sinatra

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 提供静态文件时，低于 2.2.0 版本的 Sinatra 不会验证扩展路径是否匹配 public_dir。(CVE-2022-29970)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2022: 2253 公告。

  - sinatra：提供静态文件时，可能在 public_dir 之外进行路径遍历 (CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的多个程序包受到 ELSA-2022-9513 公告中提及的一个漏洞影响。

  - 提供静态文件时，低于 2.2.0 版本的 Sinatra 不会验证扩展路径是否匹配 public_dir。(CVE-2022-29970)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
161366	RHEL 8 : pcs (RHSA-2022: 4661)	Nessus	Red Hat Local Security Checks	2022/5/19	2024/11/7	high
161482	AlmaLinux 8pcs (ALSA-2022:4661)	Nessus	Alma Linux Local Security Checks	2022/5/24	2022/5/24	high
162846	Rocky Linux 8pcs (RLSA-2022:4661)	Nessus	Rocky Linux Local Security Checks	2022/7/8	2023/11/6	high
161240	RHEL 8 : pcs (RHSA-2022: 2255)	Nessus	Red Hat Local Security Checks	2022/5/17	2024/11/7	high
164845	RHEL 9：pcs (RHSA-2022: 4587)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/11/7	high
194188	RHEL 8：Satellite 6.12 Release（重要）(RHSA-2022:8506)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/6/4	critical
161240	RHEL 8：pcs (RHSA-2022: 2255)	Nessus	Red Hat Local Security Checks	2022/5/17	2024/11/7	high
162846	Rocky Linux 8pcs (RLSA-2022:4661)	Nessus	Rocky Linux Local Security Checks	2022/7/8	2023/11/6	high
164845	RHEL 9：pcs (RHSA-2022: 4587)	Nessus	Red Hat Local Security Checks	2022/9/8	2024/11/7	high
194188	RHEL 8：Satellite 6.12 Release (重要) (RHSA-2022:8506)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/6/4	critical
206670	Debian dla-3877：ruby-rack-protection - 安全更新	Nessus	Debian Local Security Checks	2024/9/5	2024/9/5	high
224610	Linux Distros 未修补的漏洞: CVE-2022-29970	Nessus	Misc.	2025/3/5	2025/9/1	high
161216	RHEL 8 : pcs (RHSA-2022: 2253)	Nessus	Red Hat Local Security Checks	2022/5/16	2024/11/7	high
162813	Oracle Linux 9：pcs (ELSA-2022-9513)	Nessus	Oracle Linux Local Security Checks	2022/7/7	2024/10/22	high

検出

プラグインの検索

high

high

high

high

high

critical

high

high

high

critical

high

high

high

high