An updated lynx package that corrects two security issues is now available for Red Hat Enterprise Linux 2.1, 3, 4, and 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

Lynx is a text-based Web browser.

An arbitrary command execution flaw was found in the Lynx 'lynxcgi:' URI handler. An attacker could create a web page redirecting to a malicious URL that could execute arbitrary code as the user running Lynx in the non-default 'Advanced' user mode. (CVE-2008-4690)

Note: In these updated lynx packages, Lynx will always prompt users before loading a 'lynxcgi:' URI. Additionally, the default lynx.cfg configuration file now marks all 'lynxcgi:' URIs as untrusted by default.

A flaw was found in a way Lynx handled '.mailcap' and '.mime.types' configuration files. Files in the browser's current working directory were opened before those in the user's home directory. A local attacker, able to convince a user to run Lynx in a directory under their control, could possibly execute arbitrary commands as the user running Lynx. (CVE-2006-7234)

All users of Lynx are advised to upgrade to this updated package, which contains backported patches correcting these issues.

Lynx の「lynxcgi:」URI ハンドラーに任意のコマンドが実行される欠陥が見つかりました。攻撃者が、悪意ある URL にリダイレクトする Web ページを作成し、非デフォルトの「Advanced」ユーザーモードの Lynx を実行しているユーザーとして任意のコードを実行する可能性があります。（CVE-2008-4690）

注：これらの更新済み lynx パッケージでは、Lynx が「lynxcgi:」URI をロードする前に常にユーザーにプロンプトを表示するようになります。また、デフォルトの lynx.cfg 構成ファイルが、すべての「lynxcgi:」URI をデフォルトで信頼しないとマークするようになりました。

Lynx が「.mailcap」と「.mime.types」の構成ファイルを処理する方法で、欠陥が見つかりました。ブラウザにある現在作業中のディレクトリのファイルが、ユーザーのホームディレクトリのファイルより前に開かれていました。ローカルの攻撃者が、制御下にあるディレクトリでユーザーに Lynx を実行させることができた場合、 Lynx を実行しているユーザーとして任意のコマンドを実行する可能性性があります。（CVE-2006-7234）

Red Hat セキュリティアドバイザリ 2008:0965 から：

2 つのセキュリティ問題を修正する更新済みの lynx パッケージが、 Red Hat Enterprise Linux 2.1、3、4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Lynx は、テキストベースの Web ブラウザです。

Lynx の「lynxcgi:」URI ハンドラーに任意のコマンドが実行される欠陥が見つかりました。攻撃者が、悪意ある URL にリダイレクトする Web ページを作成し、非デフォルトの「Advanced」ユーザーモードの Lynx を実行しているユーザーとして任意のコードを実行する可能性があります。(CVE-2008-4690)

注：これらの更新済み lynx パッケージでは、Lynx が「lynxcgi:」URI をロードする前に常にユーザーにプロンプトを表示するようになります。また、デフォルトの lynx.cfg 構成ファイルが、すべての「lynxcgi:」URI をデフォルトで信頼しないとマークするようになりました。

Lynx が「.mailcap」と「.mime.types」の構成ファイルを処理する方法で、欠陥が見つかりました。ブラウザにある現在作業中のディレクトリのファイルが、ユーザーのホームディレクトリのファイルより前に開かれていました。ローカルの攻撃者が、制御下にあるディレクトリでユーザーに Lynx を実行させることができた場合、 Lynx を実行しているユーザーとして任意のコマンドを実行する可能性性があります。(CVE-2006-7234)

Lynx の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

From Red Hat Security Advisory 2008:0965 :

An updated lynx package that corrects two security issues is now available for Red Hat Enterprise Linux 2.1, 3, 4, and 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

Lynx is a text-based Web browser.

An arbitrary command execution flaw was found in the Lynx 'lynxcgi:' URI handler. An attacker could create a web page redirecting to a malicious URL that could execute arbitrary code as the user running Lynx in the non-default 'Advanced' user mode. (CVE-2008-4690)

Note: In these updated lynx packages, Lynx will always prompt users before loading a 'lynxcgi:' URI. Additionally, the default lynx.cfg configuration file now marks all 'lynxcgi:' URIs as untrusted by default.

A flaw was found in a way Lynx handled '.mailcap' and '.mime.types' configuration files. Files in the browser's current working directory were opened before those in the user's home directory. A local attacker, able to convince a user to run Lynx in a directory under their control, could possibly execute arbitrary commands as the user running Lynx. (CVE-2006-7234)

All users of Lynx are advised to upgrade to this updated package, which contains backported patches correcting these issues.

An arbitrary command execution flaw was found in the Lynx 'lynxcgi:' URI handler. An attacker could create a web page redirecting to a malicious URL that could execute arbitrary code as the user running Lynx in the non-default 'Advanced' user mode. (CVE-2008-4690)

Note: In these updated lynx packages, Lynx will always prompt users before loading a 'lynxcgi:' URI. Additionally, the default lynx.cfg configuration file now marks all 'lynxcgi:' URIs as untrusted by default.

A flaw was found in a way Lynx handled '.mailcap' and '.mime.types' configuration files. Files in the browser's current working directory were opened before those in the user's home directory. A local attacker, able to convince a user to run Lynx in a directory under their control, could possibly execute arbitrary commands as the user running Lynx. (CVE-2006-7234)

來自 Red Hat 安全性公告 2008:0965：

現已提供適用於 Red Hat Enterprise Linux 2.1、3、4 和 5 的更新版 lynx 套件，可更正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。

Lynx 是一種文字型網頁瀏覽器。

在 Lynx 'lynxcgi:' URI 處置程式中發現一個任意命令執行瑕疵。攻擊者可建立重新導向至惡意 URL 的網頁，其可以 Lynx 使用者的身分在非預設「進階」使用者模式下執行任意程式碼。(CVE-2008-4690)

注意：在這些更新版 lynx 套件中，Lynx 將一律在載入 'lynxcgi:' URI 之前提示使用者。此外，預設 lynx.cfg 組態檔現在預設會將所有‘lynxcgi:’ URI 標記為不受信任。

在 Lynx 處理「.mailcap」與「.mime」類型組態檔案的方式中發現一個瑕疵。瀏覽器目前工作目錄中的檔案在使用者主目錄中的檔案之前開啟。能夠說服使用者在其所控制的目錄中執行 Lynx 的本機攻擊者，可能會以 Lynx 使用者的身分執行任意命令。(CVE-2006-7234)

建議所有 Lynx 使用者皆升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

在 Lynx 'lynxcgi:' URI 處置程式中發現一個任意命令執行瑕疵。攻擊者可建立重新導向至惡意 URL 的網頁，其可以 Lynx 使用者的身分在非預設「進階」使用者模式下執行任意程式碼。(CVE-2008-4690)

注意：在這些更新版 lynx 套件中，Lynx 將一律在載入 'lynxcgi:' URI 之前提示使用者。此外，預設 lynx.cfg 組態檔現在預設會將所有‘lynxcgi:’ URI 標記為不受信任。

在 Lynx 處理「.mailcap」與「.mime」類型組態檔案的方式中發現一個瑕疵。瀏覽器目前工作目錄中的檔案在使用者主目錄中的檔案之前開啟。能夠說服使用者在其所控制的目錄中執行 Lynx 的本機攻擊者，可能會以 Lynx 使用者的身分執行任意命令。(CVE-2006-7234)

来自 Red Hat 安全公告 2008:0965：

更新后的 lynx 程序包修正了两个安全问题，现在可用于 Red Hat Enterprise Linux 2.1、3、4 和 5。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。

Lynx 是基于文本的 Web 浏览器。

在 Lynx“lynxcgi:”URI 处理程序中发现一个任意命令执行缺陷。攻击者可创建重定向到恶意 URL 的网页，从而可能在非默认“高级”用户模式下以运行 Lynx 的用户的身份执行任意代码。(CVE-2008-4690)

注意：在这些更新后的 lynx 程序包中，Lynx 将在加载“lynxcgi:”URI 之前始终提示用户。此外，默认 lynx.cfg 配置文件现已默认将所有“lynxcgi:”URI 标记为不受信任。

在 Lynx 处理“.mailcap”和“.mime.types”配置文件的方式中发现一个缺陷。浏览器当前工作目录中的文件在用户主目录中的文件之前打开。本地攻击者可诱使用户在其控制的目录下运行 Lynx，从而可能以运行 Lynx 的用户的身份执行任意命令。(CVE-2006-7234)

建议所有 Lynx 用户升级此更新后的程序包，其中包含修正这些问题的向后移植的修补程序。

在 Lynx“lynxcgi:”URI 处理程序中发现一个任意命令执行缺陷。攻击者可创建重定向到恶意 URL 的网页，从而可能在非默认“高级”用户模式下以运行 Lynx 的用户的身份执行任意代码。(CVE-2008-4690)

注意：在这些更新后的 lynx 程序包中，Lynx 将在加载“lynxcgi:”URI 之前始终提示用户。此外，默认 lynx.cfg 配置文件现已默认将所有“lynxcgi:”URI 标记为不受信任。

在 Lynx 处理“.mailcap”和“.mime.types”配置文件的方式中发现一个缺陷。浏览器当前工作目录中的文件在用户主目录中的文件之前打开。本地攻击者可诱使用户在其控制的目录下运行 Lynx，从而可能以运行 Lynx 的用户的身份执行任意命令。(CVE-2006-7234)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
34503	CentOS 3 / 4 / 5 : lynx (CESA-2008:0965)	Nessus	CentOS Local Security Checks	2008/10/28	2021/1/4	critical
34505	RHEL 2.1 / 3 / 4 / 5 : lynx (RHSA-2008:0965)	Nessus	Red Hat Local Security Checks	2008/10/28	2021/1/14	critical
60486	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の lynx	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67759	Oracle Linux 3 / 4 / 5：lynx（ELSA-2008-0965）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
67759	Oracle Linux 3 / 4 / 5 : lynx (ELSA-2008-0965)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60486	Scientific Linux Security Update : lynx on SL3.x, SL4.x, SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67759	Oracle Linux 3 / 4 / 5：lynx (ELSA-2008-0965)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60486	Scientific Linux 安全性更新：SL3.x、SL4.x、SL5.x i386/x86_64 上的 lynx	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67759	Oracle Linux 3 / 4 / 5：lynx (ELSA-2008-0965)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60486	Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 lynx	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical