The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Nim 1.2.4, the standard library httpClient fails to properly validate the server response. For example,     httpClient.get().contentLength() does not raise any error if a malicious server provides a negative     Content-Length. (CVE-2020-15694)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SUSE15 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2022:10101-1 advisory.

  - In Nim before 1.2.6, the standard library asyncftpclient lacks a check for whether a message contains a     newline character. (CVE-2020-15690)

  - In Nim 1.2.4, the standard library browsers mishandles the URL argument to browsers.openDefaultBrowser.
    This argument can be a local file path that will be opened in the default explorer. An attacker can pass     one argument to the underlying open command to execute arbitrary registered system commands.
    (CVE-2020-15692)

  - In Nim 1.2.4, the standard library httpClient is vulnerable to a CR-LF injection in the target URL. An     injection is possible if the attacker controls any part of the URL provided in a call (such as     httpClient.get or httpClient.post), the User-Agent header value, or custom HTTP header names or values.
    (CVE-2020-15693)

  - In Nim 1.2.4, the standard library httpClient fails to properly validate the server response. For example,     httpClient.get().contentLength() does not raise any error if a malicious server provides a negative     Content-Length. (CVE-2020-15694)

  - Nimble is a package manager for the Nim programming language. In Nim release version before versions     1.2.10 and 1.4.4, Nimble doCmd is used in different places and can be leveraged to execute arbitrary     commands. An attacker can craft a malicious entry in the packages.json package list to trigger code     execution. (CVE-2021-21372)

  - Nimble is a package manager for the Nim programming language. In Nim release versions before versions     1.2.10 and 1.4.4, nimble refresh fetches a list of Nimble packages over HTTPS by default. In case of     error it falls back to a non-TLS URL http://irclogs.nim-lang.org/packages.json. An attacker able to     perform MitM can deliver a modified package list containing malicious software packages. If the packages     are installed and used the attack escalates to untrusted code execution. (CVE-2021-21373)

  - Nimble is a package manager for the Nim programming language. In Nim release versions before versions     1.2.10 and 1.4.4, nimble refresh fetches a list of Nimble packages over HTTPS without full verification     of the SSL/TLS certificate due to the default setting of httpClient. An attacker able to perform MitM can     deliver a modified package list containing malicious software packages. If the packages are installed and     used the attack escalates to untrusted code execution. (CVE-2021-21374)

  - Nim is a statically typed compiled systems programming language. In Nim standard library before 1.4.2,     httpClient SSL/TLS certificate verification was disabled by default. Users can upgrade to version 1.4.2 to     receive a patch or, as a workaround, set verifyMode = CVerifyPeer as documented. (CVE-2021-29495)

  - Nim is a systems programming language with a focus on efficiency, expressiveness, and elegance. In     affected versions the uri.parseUri function which may be used to validate URIs accepts null bytes in the     input URI. This behavior could be used to bypass URI validation. For example:
    parseUri(http://localhost\0hello).hostname is set to localhost\0hello. Additionally,     httpclient.getContent accepts null bytes in the input URL and ignores any data after the first null byte.
    Example: getContent(http://localhost\0hello) makes a request to localhost:80. An attacker can use a null     bytes to bypass the check and mount a SSRF attack. (CVE-2021-41259)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Nim 1.2.4 では、標準ライブラリ httpClient がサーバーの応答を適切に検証できません。たとえば、悪意のあるサーバーが負の Content-Length を提供しても、httpClient.get().contentLength() はエラーを発生させないようになっています。(CVE-2020-15694)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SUSE15 ホストには、openSUSE-SU-2022:10101-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.2.6 より前の Nim では、標準ライブラリの asyncftpclient に、メッセージに改行文字が含まれているかどうかのチェックがありません。(CVE-2020-15690)

  - Nim 1.2.4 では、標準ライブラリのブラウザが browsers.openDefaultBrowser に対する URL 引数を不適切に処理します。
    この引数は、デフォルトのエクスプローラーで開かれるローカルファイルパスにすることができます。攻撃者は、下層の open コマンドに 1 つの引数を渡して、登録されている任意のシステムコマンドを実行する可能性があります。
    (CVE-2020-15692)

  - Nim 1.2.4では、標準ライブラリ httpClient がターゲット URL の CR-LF インジェクションに対して脆弱です。呼び出しで提供された URL (httpClient.get や httpClient.post など)、User-Agent ヘッダー値、カスタム HTTP ヘッダー名または値のいずれかの部分を攻撃者がコントロールしている場合、インジェクションが可能です。
    (CVE-2020-15693)

  - Nim 1.2.4 では、標準ライブラリ httpClient がサーバーの応答を適切に検証できません。たとえば、悪意のあるサーバーが負の Content-Length を提供しても、httpClient.get().contentLength() はエラーを発生させないようになっています。(CVE-2020-15694)

  - Nimble は、Nim プログラミング言語用のパッケージマネージャーです。バージョン 1.2.10 および 1.4.4 より前の Nim リリースバージョンでは、Nimble doCmd が様々な場所で使用され、任意のコマンドを実行するために活用される可能性があります。攻撃者は、packages.json のパッケージリストの悪意のあるエントリを細工して、コード実行を発生させる可能性があります。(CVE-2021-21372)

  - Nimble は、Nim プログラミング言語用のパッケージマネージャーです。バージョン 1.2.10 および 1.4.4 より前の Nim リリースでは、nimble リフレッシュはデフォルトで HTTPS 経由で Nimble パッケージのリストをフェッチします。エラーの場合は、非 TLS URL http://irclogs.nim-lang.org/packages.json にフォールバックします。MitM を実行できる攻撃者が、悪意のあるソフトウェアパッケージを含む変更済みパッケージリストを配布する可能性があります。パッケージがインストールされ、使用された場合、攻撃が信頼できないコードの実行にエスカレートします。(CVE-2021-21373)

  - Nimble は、Nim プログラミング言語用のパッケージマネージャーです。バージョン 1.2.10 および 1.4.4 より前の Nim リリースでは、httpClient のデフォルト設定により、SSL/TLS 証明書の完全な検証を行わずに HTTPS で Nimble パッケージのリストをフェッチします。MitM を実行できる攻撃者が、悪意のあるソフトウェアパッケージを含む変更済みパッケージリストを配布する可能性があります。パッケージがインストールされ、使用された場合、攻撃が信頼できないコードの実行にエスカレートします。(CVE-2021-21374)

  - Nim は、スタティック型のコンパイル済みシステムプログラミング言語です。1.4.2 より前の Nim 標準ライブラリで、httpClient SSL/TLS 証明書検証がデフォルトで無効になっていました。ユーザーは、バージョン 1.4.2 にアップグレードしてパッチを入手するか、回避策として、verifyMode = CVerifyPeer を文書化されているとおりに設定できます。(CVE-2021-29495)

  - Nim は、効率性、表現力、およびエレガンスに焦点を当てたシステムプログラミング言語です。影響を受けるバージョンでは、URI の検証に使用される可能性がある uri.parseUri 関数が、入力 URI の null バイトを受け入れます。この動作は、URI 検証をバイパスするために使用される可能性があります。たとえば、
    parseUri (http://localhost\0hello).hostname が localhost\0hello に設定されます。さらに、httpclient.getContent は入力 URL で NULL バイトを受け入れ、最初の NULL バイトの後のデータを無視します。
    例 : getContent (http://localhost\0hello) が localhost: 80 にリクエストする。攻撃者が NULL バイトを使用してチェックをバイパスし、SSRF 攻撃を仕掛ける可能性があります。(CVE-2021-41259)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Nim 1.2.4中標準程式庫 httpClient 無法正確驗證伺服器回應。例如如果惡意伺服器提供負的 Content-Length httpClient.get().contentLength() 就不會提出任何錯誤。 (CVE-2020-15694)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Nim 1.2.4中标准库 httpClient 未正确验证服务器响应。例如如果恶意服务器提供负的 Content-LengthhttpClient.get().contentLength() 不会引发任何错误。 (CVE-2020-15694)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
258716	Linux Distros Unpatched Vulnerability : CVE-2020-15694	Nessus	Misc.	2025/8/30	2025/8/30	high
164473	openSUSE 15 Security Update : nim (openSUSE-SU-2022:10101-1)	Nessus	SuSE Local Security Checks	2022/8/28	2023/10/13	critical
258716	Linux Distros のパッチ未適用の脆弱性: CVE-2020-15694	Nessus	Misc.	2025/8/30	2025/8/30	high
164473	openSUSE 15 セキュリティ更新: nim (openSUSE-SU-2022:10101-1)	Nessus	SuSE Local Security Checks	2022/8/28	2023/10/13	critical
258716	Linux Distros 未修補的弱點：CVE-2020-15694	Nessus	Misc.	2025/8/30	2025/8/30	high
258716	Linux Distros 未修补的漏洞：CVE-2020-15694	Nessus	Misc.	2025/8/30	2025/8/30	high

検出

プラグインの検索

high

critical

high

critical

high

high