CVE-2017-6508：url.cのurl_parse関数におけるCRLFインジェクション

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このwgetの更新では、次の問題が修正されます：修正されたセキュリティ問題：

  - CVE-2017-6508：（url_parse）：URLのホスト部分の制御文字を拒否します（bsc#1028301）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Antti Levomaki氏、Christian Jalio氏、Joonas Pihlaja氏は、Wgetが特定のHTTPレスポンスを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、Wget をクラッシュさせてサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2017-13089、CVE-2017-13090)

Dawid Golunski 氏は、Wget が再帰モードまたはミラーリングモードを不適切に処理することを発見しました。リモートの攻撃者が、この問題を悪用して、守られるべきアクセスリストをバイパスする可能性があります。(CVE-2016-7098)

Orange Tsai氏は、WgetがHTTPヘッダーでCRLFシーケンスを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、任意の HTTP ヘッダーを挿入する可能性があります。(CVE-2017-6508)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201706-16（GNU Wget：ヘッダー注入）に記載されている脆弱性に影響されています。リモート攻撃者が、URLのホストサブコンポーネントのCRLFシーケンスを介して、任意のHTTPヘッダーを注入できるようにするヘッダー注入の脆弱性がGNU Wgetで発見されました。影響：リモートの攻撃者は、GNU wgetを実行しているユーザーが細工したURLを処理するように誘導することで、任意のHTTPヘッダーをリクエストに挿入する可能性があります。回避策：現時点では、既知の回避策はありません。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.19.1 ［］までの Wget の url.c の url_parse 関数における CRLF インジェクションの脆弱性により、リモートの攻撃者が、URL のホストサブコンポーネントの CRLF シーケンスを介して、任意の HTTP ヘッダーを注入する可能性があります。
    (CVE-2017-6508)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

url.cのurl_parse関数におけるCRLFインジェクション

wget が URL を処理する方法で、CRLF インジェクションの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用し、URLのホストサブコンポーネントのCRLFシーケンスを介して、任意のHTTPヘッダーをリクエストに挿入し、wgetを実行しているユーザーが細工したURLを処理するように誘導する可能性があります。
(CVE-2017-6508)

インストールされているlibndpパッケージのバージョンによると、リモートホストへのEulerOSのインストールは、は次の脆弱性の影響を受けます。- 1.19.1までのWgetでは、url.c内のurl_parse関数にCRLFインジェクションの脆弱性があるため、リモートの攻撃者がURLのホストサブコンポーネント内のCRLFシーケンスを使用して任意のHTTPヘッダーを挿入する可能性があります。（CVE-2017-6508）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

- url.cのurl_parse関数におけるCVE-2017-6508 CRLFインジェクションを修正しました

  - .netrcの使用を修正しました

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

wget（Webからファイルを取得するツール）にヘッダーインジェクションの脆弱性があり、リモート攻撃者がURLのホストサブコンポーネントのCRLFシーケンスを介して任意のHTTPヘッダーを注入できることが発見されました。

Debian 7「Wheezy」では、この問題はwgetバージョン1.13.4-3+deb7u4 で修正されています。

お使いのwgetパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このwget用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題：

修正されたセキュリティ問題：

  - CVE-2017-6508：（url_parse）：URLのホスト部分の制御文字を拒否します（bsc#1028301）。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100750	Fedora 24：wget（2017-ed1c665a3f）	Nessus	Fedora Local Security Checks	2017/6/13	2025/12/16	medium
97914	SUSE SLES11セキュリティ更新プログラム：wget（SUSE-SU-2017:0799-1）	Nessus	SuSE Local Security Checks	2017/3/23	2025/12/29	medium
104211	Ubuntu 14.04 LTS / 16.04 LTS : Wget の脆弱性 (USN-3464-1)	Nessus	Ubuntu Local Security Checks	2017/10/27	2024/8/27	high
100942	GLSA-201706-16：GNU Wget：ヘッダー注入	Nessus	Gentoo Local Security Checks	2017/6/21	2025/12/15	medium
221269	Linux Distros のパッチ未適用の脆弱性: CVE-2017-6508	Nessus	Misc.	2025/3/4	2025/9/15	medium
102869	Amazon Linux AMI：wget (ALAS-2017-881)	Nessus	Amazon Linux Local Security Checks	2017/9/1	2025/11/25	medium
131654	EulerOS 2.0 SP2：wget（EulerOS-SA-2019-2501）	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
100604	Fedora 25：wget（2017-22f1a8404e）	Nessus	Fedora Local Security Checks	2017/6/5	2025/12/17	medium
101612	Fedora 26：wget（2017-38c3781b89）	Nessus	Fedora Local Security Checks	2017/7/17	2025/12/10	medium
97642	Debian DLA-851-1: wgetセキュリティ更新	Nessus	Debian Local Security Checks	2017/3/10	2025/12/30	medium
97915	SUSE SLED12 / SLES12セキュリティ更新プログラム：wget（SUSE-SU-2017:0800-1）	Nessus	SuSE Local Security Checks	2017/3/23	2025/12/29	medium
99111	openSUSEセキュリティ更新プログラム：wget（openSUSE-2017-412）	Nessus	SuSE Local Security Checks	2017/3/31	2025/12/26	medium

検出

プラグインの検索

medium

medium

high

medium

medium

medium

medium

medium

medium

medium

medium

medium