The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3487 advisory.

  - Fusiondirectory 1.3 suffers from Improper Session Handling. (CVE-2022-36179)

  - Fusiondirectory 1.3 is vulnerable to Cross Site Scripting (XSS) via     /fusiondirectory/index.php?message=[injection],     /fusiondirectory/index.php?message=invalidparameter&plug={Injection],     /fusiondirectory/index.php?signout=1&message=[injection]&plug=106. (CVE-2022-36180)

  - phpCAS is an authentication library that allows PHP applications to easily authenticate users via a     Central Authentication Service (CAS) server. The phpCAS library uses HTTP headers to determine the service     URL used to validate tickets. This allows an attacker to control the host header and use a valid ticket     granted for any authorized service in the same SSO realm (CAS server) to authenticate to the service     protected by phpCAS. Depending on the settings of the CAS server service registry in worst case this may     be any other service URL (if the allowed URLs are configured to ^(https)://.*) or may be strictly     limited to known and authorized services in the same SSO federation if proper URL service validation is     applied. This vulnerability may allow an attacker to gain access to a victim's account on a vulnerable     CASified service without victim's knowledge, when the victim visits attacker's website while being logged     in to the same CAS server. phpCAS 1.6.0 is a major version upgrade that starts enforcing service URL     discovery validation, because there is unfortunately no 100% safe default config to use in PHP. Starting     this version, it is required to pass in an additional service base URL argument when constructing the     client class. For more information, please refer to the upgrading doc. This vulnerability only impacts the     CAS client that the phpCAS library protects against. The problematic service URL discovery behavior in     phpCAS < 1.6.0 will only be disabled, and thus you are not impacted from it, if the phpCAS configuration     has the following setup: 1. `phpCAS::setUrl()` is called (a reminder that you have to pass in the full URL     of the current page, rather than your service base URL), and 2. `phpCAS::setCallbackURL()` is called, only     when the proxy mode is enabled. 3. If your PHP's HTTP header input `X-Forwarded-Host`, `X-Forwarded-     Server`, `Host`, `X-Forwarded-Proto`, `X-Forwarded-Protocol` is sanitized before reaching PHP (by a     reverse proxy, for example), you will not be impacted by this vulnerability either. If your CAS server     service registry is configured to only allow known and trusted service URLs the severity of the     vulnerability is reduced substantially in its severity since an attacker must be in control of another     authorized service. Otherwise, you should upgrade the library to get the safe service discovery behavior.
    (CVE-2022-39369)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3487 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Fusiondirectory 1.3 は不適切なセッション処理の影響を受けます。(CVE-2022-36179)

  - Fusiondirectory 1.3 は、/fusiondirectory/index.php?message=[injection]、/fusiondirectory/index.php?message=invalidparameter&plug={Injection]、/fusiondirectory/index.php?signout=1&message=[injection]&plug=106 によるクロスサイトスクリプティング (XSS) に対して脆弱です。(CVE-2022-36180)

  - phpCAS は、PHP アプリケーションが Central Authentication Service (CAS) サーバー経由でユーザーを簡単に認証できるようにする認証ライブラリです。phpCAS ライブラリは、HTTP ヘッダーを使用して、チケットの検証に使用されるサービス URL を決定します。これにより、攻撃者はホストヘッダーを制御し、同じ SSO レルム (CAS サーバー) 内の承認されたサービスに付与された有効なチケットを使用して、phpCAS で保護されたサービスを認証できます。CAS サーバーのサービスレジストリの設定によりますが、最悪の場合、他のサービスの URL (許可される URL が ^(https): //.* に設定されている場合)、または適切な URL サービス検証が適用されていれば、同じ SSO フェデレーション内の既知で認証されたサービスに厳密に制限される可能性があります。この脆弱性により、被害者が同じ CAS サーバーにログインした状態で攻撃者の Web サイトにアクセスすると、被害者が気付かないうちに、攻撃者が脆弱な CASified サービスで被害者のアカウントにアクセスする可能性があります。phpCAS 1.6.0 はメジャーバージョンアップで、サービス URL 検出検証を行います。というのも、残念ながら PHP には 100％ 安全なデフォルト設定が存在しないからです。このバージョン以降、クライアントクラスを構築する際に、追加のサービスベース URL 引数を渡す必要があります。詳しくは、アップグレードドキュメントを参照してください。この脆弱性の影響を受けるのは、phpCAS ライブラリが保護している CAS クライアントのみです。phpCAS < 1.6.0 の問題のあるサービス URL 発見動作は無効になるだけで、phpCAS 構成が次のように設定されている場合は影響を受けません。1. `phpCAS: : setUrl()` が呼び出される (サービスベース URL ではなく、現在のページの完全な URL を渡す必要があることに注意)。2. `phpCAS: : setCallbackURL()` が呼び出される (プロキシモードが有効な場合のみ)。3. PHP の HTTP ヘッダー入力 `X-Forwarded-Host`、`X-Forwarded-Server`、`Host`、`X-Forwarded-Proto`、`X-Forwarded-Protocol` が (例えばリバースプロキシによって) PHP に届く前にサニタイズされている場合。このようなケースでは、この脆弱性の影響を受けることはありません。CAS サーバーサービスレジストリが既知の信頼できるサービス URL のみを許可するように構成されている場合、攻撃者が別の承認されたサービスをコントロールする必要があるため、脆弱性の深刻度は大幅に低下します。そうでない場合は、ライブラリをアップグレードして、安全なサービス検出動作を取得する必要があります。
    (CVE-2022-39369)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3487 公告中提及的多個弱點影響。

  - Fusiondirectory 1.3 受到不當工作階段處理的影響。(CVE-2022-36179)

  - Fusiondirectory 1.3 容易透過 /fusiondirectory/index.php?message=[injection], /fusiondirectory/index.php?message=invalidparameter&plug={Injection], /fusiondirectory/index.php?signout=1&message=[injection]&plug=106 受到跨網站指令碼 (XSS) 影響。(CVE-2022-36180)

  - phpCAS 是一種驗證程式庫，可讓 PHP 應用程式透過中央驗證服務 (CAS) 伺服器輕鬆驗證使用者。phpCAS 程式庫使用 HTTP 標頭來判斷用於驗證票證的服務 URL。借助該庫，攻擊者可以控制主機標頭，並使用授予相同 SSO 領域 (CAS 伺服器) 中任何授權服務的有效票證，以驗證受 phpCAS 保護的服務。根據 CAS 伺服器服務登錄檔的設定，在最壞的情況下，這可能是任何其他服務 URL (如果允許的 URL 設定為 ^(https)：//.*)；如果套用適當的 URL 服務驗證，則可能會嚴格限制為相同 SSO 聯盟中的已知和授權服務。當受害者在登入相同 CAS 伺服器的情況下造訪攻擊者的網站時，此弱點可能允許攻擊者在受害者不知情的情況下，在有弱點的 CASified 服務上取得受害者帳戶的存取權。 我們對 phpCAS 1.6.0 版進行了主要版本升級，開始強制執行服務 URL 探索驗證，因為 PHP 中沒有可使用的 100% 安全的預設組態。從此版本開始，建構用戶端類別時，必須傳入額外的服務基本 URL 引數。如需詳細資訊，請參閱升級檔案。此弱點只會影響 phpCAS 程式庫保護的 CAS 用戶端。如果 phpCAS 組態有下列設定，phpCAS 低於 1.6.0 的版本中儘存在問題的服務 URL 探索行為會遭到停用，因此您不會受到影響：1. 呼叫「phpCAS：: setUrl()」(提醒您必須傳入目前頁面的完整 URL，而非服務基底 URL)，以及；2. 僅在啟用 Proxy 模式時，才會呼叫「phpCAS：: setCallbackURL()」；3. 如果 PHP 的 HTTP 標頭輸入「X-Forwarded-Host」、「X-Forwarded-Server」、「X-Forwarded-Proto」、「X-Forwarded-Protocol」在傳送至 PHP 之前被清理 (由例如反向代理伺服器)，您也不會受到此弱點的影響。如果您的 CAS 伺服器服務登錄檔設定為只允許已知且受信任的服務 URL，則該弱點的嚴重性會大幅降低，因為攻擊者必須控制另一個授權服務。否則，您應該升級程式庫以獲得安全的服務探索行為。
    (CVE-2022-39369)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的程序包受到 dla-3487 公告中提及的多个漏洞影响。

  - Fusiondirectory 1.3 受到不当会话处理的影响。(CVE-2022-36179)

  - 通过 /fusiondirectory/index.php?message=[injection], /fusiondirectory/index.php?message=invalidparameter&plug={Injection], /fusiondirectory/index.php?signout=1&message=[injection]&plug=106，Fusiondirectory 1.3 版容易受到跨站脚本 (XSS) 的影响。(CVE-2022-36180)

  - phpCAS 是一个认证库，允许 PHP 应用程序通过中央认证服务 (CAS) 服务器轻松认证用户。phpCAS 库使用 HTTP 标头来确定用于验证票证的服务 URL。该库允许攻击者控制主机标头，并使用为同一 SSO 领域（CAS 服务器）中的任何授权服务授予的有效票证对 phpCAS 保护的服务进行认证。根据 CAS 服务器服务注册表的设置，在最坏的情况下，这可能是任何其他服务 URL（如果允许的 URL 配置为 ^(https): //.*)，或者如果应用了正确的 URL 服务验证，则可能被严格限制为相同 SSO 联合中的已知和授权的服务。当受害者在登录同一 CAS 服务器的情况下访问攻击者的网站时，此漏洞可能会允许攻击者在受漏洞影响的 CASified 服务上获取受害者的帐户，而受害者并不知情。 我们对 phpCAS 1.6.0 版做了主要版本升级，以开始强制执行服务 URL 发现验证，因为在 PHP 中没有 100％ 安全的默认配置可供使用。从此版本开始，构造客户端类时需要传入一个额外的服务基本 URL 参数。如需更多信息，请参阅升级文档。此漏洞仅影响 phpCAS 库防御的 CAS 客户端。如果 phpCAS 配置具有以下设置，则只会禁用 phpCAS 低于 1.6.0 的版本中有问题的服务 URL 发现行为，因此您不会受到影响：1. 调用 `phpCAS：: setUrl()`（提醒您必须传入当前页面的完整 URL，而不是服务基本 URL）；并且 2. 仅当启用了代理模式时才会调用 `phpCAS: : setCallbackURL()`；3. 如果 PHP 的 HTTP 标头输入“X-Forwarded-Host”、“X-Forwarded-Server”、“X-Forwarded-Proto”、“X-Forwarded-Protocol”在到达 PHP 之前被清理（例如通过反向代理），则您也不会受到此漏洞的影响。如果您的 CAS 服务器服务注册表配置为仅允许已知和可信的服务 URL，则该漏洞的严重性会大大降低，因为攻击者必须控制另一个经授权的服务。否则，您应升级库以获得安全的服务发现行为。
    (CVE-2022-39369)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
178053	Debian DLA-3487-1 : fusiondirectory - LTS security update	Nessus	Debian Local Security Checks	2023/7/8	2023/7/8	critical
178053	Debian DLA-3487-1 : FusionDirectory - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/7/8	2023/7/8	critical
178053	Debian DLA-3487-1：fusiondirectory - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/7/8	2023/7/8	critical
178053	Debian DLA-3487-1：fusiondirectory - LTS 安全更新	Nessus	Debian Local Security Checks	2023/7/8	2023/7/8	critical

検出

プラグインの検索

critical

critical

critical

critical