このnautilusの更新では、次のセキュリティ問題が修正されます：

  - CVE-2017-14604：ユーザーがファイルを信頼できるとして認識し、デスクトップファイル内の「信頼できる」コンテンツも削除したときに、metadata: : trusted属性をファイルに追加することによる、ファイルタイプなりすまし攻撃を修正しました（bsc#1060031）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

実行アクセス許可が設定された.desktopファイルの信頼性の検証が不十分：実行アクセス許可が設定されている信頼できない.desktopファイルは、表示された名前とアイコンを選択し、ユーザーが開いたときに警告なしにコマンドを実行する可能性があります。攻撃者はこの欠陥を利用して、ユーザーがPDFなどの文書として偽装された.desktopファイルを開いて任意のコマンドを実行するように仕向ける可能性があります。（CVE-2017-14604）

セキュリティ修正プログラム:

  - 実行可能アクセス権を設定した信頼できない.desktopファイルは、表示された名前とアイコンを選択し、ユーザーが開いたときに警告なしにコマンドを実行する可能性があります。攻撃者はこの欠陥を利用して、ユーザーがPDFなどの文書として偽装された.desktopファイルを開いて任意のコマンドを実行するように仕向ける可能性があります。
    （CVE-2017-14604）

注: この更新プログラムは、Nautilusの動作を変更します。Nautilusは、信頼できない.desktopファイルを初めて実行するときユーザーに確認を求め、その後それを信頼できるファイルリストに追加します。XDG_DATA_DIRS環境変数で指定されているシステムディレクトリに格納されているデスクトップファイルは、常に信頼できるとみなされ、プロンプトなしで実行されます。

Nautilusの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Nautilusは、GNOMEデスクトップ用のファイルマネージャーとグラフィカルシェルです。セキュリティ修正プログラム：* 実行可能アクセス権を設定した信頼できない.desktopファイルは、表示された名前とアイコンを選択し、ユーザーが開いたときに警告なしにコマンドを実行する可能性があります。攻撃者はこの欠陥を利用して、ユーザーがPDFなどの文書として偽装された.desktopファイルを開いて任意のコマンドを実行するように仕向ける可能性があります。（CVE-2017-14604）注意：この更新プログラムは、Nautilusの動作を変更します。Nautilusは、信頼できない.desktopファイルを初めて実行するときユーザーに確認を求め、その後それを信頼できるファイルリストに追加します。XDG_DATA_DIRS環境変数で指定されているシステムディレクトリに格納されているデスクトップファイルは、常に信頼できるとみなされ、プロンプトなしで実行されます。

nautilusのこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2017-14604：ユーザーがファイルを信頼できるものとして承認すると、metadata: : trustedメタデータをファイルに追加します。また、デスクトップファイル内の「信頼できる」コンテンツを削除します（bsc#1060031）。

この更新プログラムは、SUSE: SLE-12-SP2: Update更新プロジェクトからインポートされました。

Christian Boxdorfer氏は、GNOMEデスクトップ環境用のファイルマネージャーであるNautilusで、FreeDesktop.org .desktopファイルの処理に脆弱性を発見しました。攻撃者が、Nautilusで、悪意のあるコマンドを実行する意図はあるものの無害のドキュメントファイルとして表示される.desktopファイルを細工する可能性があります。ユーザーが信頼し、ファイルを開くと、Nautilusが悪意のあるコンテンツを実行する可能性があります。
実行可能権限を持つ.desktopファイルのみを信頼するNautilus保護は、.desktopファイルをtarball内に届けることでバイパスできます。

nautilusのこの更新プログラムでは、以下の問題が修正されています：修正されたセキュリティ問題：

  - CVE-2017-14604：ユーザーがファイルを信頼できるものとして承認すると、metadata: : trustedメタデータをファイルに追加します。また、デスクトップファイル内の「信頼できる」コンテンツを削除します（bsc#1060031）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

出典: Red Hatセキュリティアドバイザリ2018:0223:nautilusの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Nautilusは、GNOMEデスクトップ用のファイルマネージャーとグラフィカルシェルです。セキュリティ修正プログラム：* 実行可能アクセス権を設定した信頼できない.desktopファイルは、表示された名前とアイコンを選択し、ユーザーが開いたときに警告なしにコマンドを実行する可能性があります。攻撃者はこの欠陥を利用して、ユーザーがPDFなどの文書として偽装された.desktopファイルを開いて任意のコマンドを実行するように仕向ける可能性があります。（CVE-2017-14604）注意：この更新プログラムは、Nautilusの動作を変更します。Nautilusは、信頼できない.desktopファイルを初めて実行するときユーザーに確認を求め、その後それを信頼できるファイルリストに追加します。XDG_DATA_DIRS環境変数で指定されているシステムディレクトリに格納されているデスクトップファイルは、常に信頼できるとみなされ、プロンプトなしで実行されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
110547	SUSE SLES11セキュリティ更新プログラム：nautilus（SUSE-SU-2018:1694-1）	Nessus	SuSE Local Security Checks	2018/6/15	2021/1/19	medium
109128	Amazon Linux 2：nautilus（ALAS-2018-960）	Nessus	Amazon Linux Local Security Checks	2018/4/18	2018/4/18	medium
106341	Scientific Linux セキュリティ更新: SL7.x x86_64のnautilus（20180125）	Nessus	Scientific Linux Local Security Checks	2018/1/25	2020/2/24	medium
106356	CentOS 7：nautilus（CESA-2018:0223）	Nessus	CentOS Local Security Checks	2018/1/26	2019/12/31	medium
111564	openSUSEセキュリティ更新プログラム：nautilus（openSUSE-2018-802）	Nessus	SuSE Local Security Checks	2018/8/7	2021/1/19	medium
103717	DebianDSA-3994-1：nautilus - セキュリティ更新	Nessus	Debian Local Security Checks	2017/10/9	2021/1/4	medium
111347	SUSE SLED12 / SLES12セキュリティ更新プログラム：nautilus（SUSE-SU-2018:2058-1）	Nessus	SuSE Local Security Checks	2018/7/26	2019/9/10	medium
106368	Oracle Linux 7：nautilus（ELSA-2018-0223）	Nessus	Oracle Linux Local Security Checks	2018/1/26	2019/9/27	medium
106336	RHEL 7：nautilus（RHSA-2018:0223）	Nessus	Red Hat Local Security Checks	2018/1/25	2024/4/27	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium