This update for flatpak fixes the following issues :

Security issues fixed :

  - CVE-2019-8308: Fixed a potential sandbox escape via     /proc (bsc#1125431).

  - CVE-2019-11460: Fixed a compromised thumbnailer may     escape the bubblewrap sandbox used to confine     thumbnailers by using the TIOCSTI ioctl (bsc#1133043).

  - CVE-2019-11461: Fixed a compromised thumbnailer may     escape the bubblewrap sandbox used to confine     thumbnailers by using the TIOCSTI ioctl (bsc#1133041).

This update was imported from the SUSE:SLE-15:Update update project.

This update for flatpak fixes the following issues :

Security issues fixed :

CVE-2019-8308: Fixed a potential sandbox escape via /proc (bsc#1125431).

CVE-2019-11460: Fixed a compromised thumbnailer may escape the bubblewrap sandbox used to confine thumbnailers by using the TIOCSTI ioctl (bsc#1133043).

CVE-2019-11461: Fixed a compromised thumbnailer may escape the bubblewrap sandbox used to confine thumbnailers by using the TIOCSTI ioctl (bsc#1133041).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートホストは、GLSA-201908-27（Nautilus：セキュリティバイパス）で説明されている脆弱性に影響されています。Nautilusで、攻撃者がサンドボックスをエスケープできる脆弱性が発見されました。影響：ローカルの攻撃者が、サンドボックスの保護をバイパスする可能性があります。回避策：現時点では、既知の回避策はありません。

flatpak用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-8308：/procを介した潜在的なサンドボックスエスケープを修正しました（bsc#1125431）。

  - CVE-2019-11460：危険にさらされたサムネイルが、TIOCSTI ioctlを使用することでサムネイルを制限するために使用されるバブルラップサンドボックスをエスケープする可能性がある問題を修正しました（bsc#1133043）。

  - CVE-2019-11461：危険にさらされたサムネイルが、TIOCSTI ioctlを使用することでサムネイルを制限するために使用されるバブルラップサンドボックスをエスケープする可能性がある問題を修正しました（bsc#1133041）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

flatpak用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-8308：/procを介した潜在的なサンドボックスエスケープを修正しました（bsc#1125431）。

CVE-2019-11460：危険にさらされたサムネイルが、TIOCSTI ioctlを使用することでサムネイルを制限するために使用されるバブルラップサンドボックスをエスケープする可能性がある問題を修正しました（bsc#1133043）。

CVE-2019-11461：危険にさらされたサムネイルが、TIOCSTI ioctlを使用することでサムネイルを制限するために使用されるバブルラップサンドボックスをエスケープする可能性がある問題を修正しました（bsc#1133041）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

遠端主機受到 GLSA-201908-27 中所述的弱點影響 (Nautilus：繞過安全性機制) 在 Nautilus 中發現一個弱點，攻擊者可利用此弱點逸出沙箱。影響：本機攻擊者可能會繞過沙箱防護機制。因應措施：目前尚無已知的因應措施。

远程主机受到 GLSA-201908-27 中所述漏洞的影响（Nautilus：安全绕过）在 Nautilus 中发现了一个漏洞，该漏洞允许攻击者以绕过沙盒。影响：本地攻击者可能会绕过沙盒保护。解决方法：目前无任何已知的解决方法。

The remote host is affected by the vulnerability described in GLSA-201908-27 (Nautilus: Security bypass)

    A vulnerability was discovered in Nautilus which allows an attacker to       escape the sandbox.
  Impact :

    A local attacker could possibly bypass sandbox protection.
  Workaround :

    There is no known workaround at this time.

According to the versions of the nautilus packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - An issue was discovered in GNOME Nautilus 3.30 prior to 3.30.6 and 3.32 prior to 3.32.1. A compromised     thumbnailer may escape the bubblewrap sandbox used to confine thumbnailers by using the TIOCSTI ioctl to     push characters into the input buffer of the thumbnailer's controlling terminal, allowing an attacker to     escape the sandbox if the thumbnailer has a controlling terminal. This is due to improper filtering of the     TIOCSTI ioctl on 64-bit systems, similar to CVE-2019-10063. (CVE-2019-11461)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128454	openSUSE Security Update : flatpak (openSUSE-2019-2038)	Nessus	SuSE Local Security Checks	2019/9/3	2024/4/30	critical
128048	SUSE SLED15 / SLES15 Security Update : flatpak (SUSE-SU-2019:2185-1)	Nessus	SuSE Local Security Checks	2019/8/21	2024/5/2	critical
128442	GLSA-201908-27：Nautilus：セキュリティバイパス	Nessus	Gentoo Local Security Checks	2019/9/3	2024/4/30	high
128454	openSUSEセキュリティ更新プログラム：flatpak（openSUSE-2019-2038）	Nessus	SuSE Local Security Checks	2019/9/3	2024/4/30	critical
128048	SUSE SLED15 / SLES15セキュリティ更新プログラム：flatpak（SUSE-SU-2019:2185-1）	Nessus	SuSE Local Security Checks	2019/8/21	2024/5/2	critical
128442	GLSA-201908-27：Nautilus：繞過安全性機制	Nessus	Gentoo Local Security Checks	2019/9/3	2024/4/30	high
128442	GLSA-201908-27：Nautilus：安全绕过	Nessus	Gentoo Local Security Checks	2019/9/3	2024/4/30	high
128442	GLSA-201908-27 : Nautilus: Security bypass	Nessus	Gentoo Local Security Checks	2019/9/3	2024/4/30	high
159241	EulerOS 2.0 SP8 : nautilus (EulerOS-SA-2022-1356)	Nessus	Huawei Local Security Checks	2022/3/28	2022/3/28	high

検出

プラグインの検索

critical

critical

high

critical

critical

high

high

high

high