The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-7108-1 advisory.

    Fabian Bumer, Marcus Brinkmann, and Jrg Schwenk discovered that AsyncSSH did not properly handle the     extension info message. An attacker able to intercept communications could possibly use this issue to     downgrade the algorithm used for client authentication. (CVE-2023-46445)

    Fabian Bumer, Marcus Brinkmann, and Jrg Schwenk discovered that AsyncSSH did not properly handle the     user authentication request message. An attacker could possibly use this issue to control the remote end     of an SSH client session via packet injection/removal and shell emulation. (CVE-2023-46446)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 20.04LTS/22.04 LTS/24.04 LTS ホストには、USN-7108-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Fabian Bumer 氏、Marcus Brinkmann 氏、Jrg Schwenk 氏は、AsyncSSH が拡張機能情報メッセージを適切に処理していないことを発見しました。通信を傍受できる攻撃者がこの問題を利用して、クライアント認証に使用するアルゴリズムをダウングレードする可能性があります。(CVE-2023-46445)

    Fabian Bumer 氏、Marcus Brinkmann 氏、Jrg Schwenk 氏は、AsyncSSH がユーザー認証リクエストメッセージを適切に処理していないことを発見しました。攻撃者がこの問題を利用して、パケットの注入/削除およびシェルエミュレーションを介して、SSH クライアントセッションのリモートエンドを制御する可能性があります。(CVE-2023-46446)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主機上安裝的一個套件受到 USN-7108-1 公告中所提及的多個弱點影響。

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 發現 AsyncSSH 未正確處理延伸資訊訊息。能夠攔截通訊的攻擊者可能會利用此問題，將用於用戶端驗證的演算法降級。 (CVE-2023-46445)

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 發現 AsyncSSH 未正確處理使用者驗證要求訊息。攻擊者可能利用此問題，透過封包注入/移除和 shell 模擬，控制 SSH 用戶端工作階段的遠端。 (CVE-2023-46446)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 39 ホストには、FEDORA-2023-d2956318e4 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.14.1 より前の AsyncSSH の問題により、攻撃者が中間者攻撃 (別名 Rogue Extension Negotiation) を通じて拡張情報メッセージ (RFC 8308) を制御する可能性があります。(CVE-2023-46445)

  - 2.14.1 より前の AsyncSSH の問題により、攻撃者が、パケットの注入/削除およびシェルエミュレーション (別名 Rogue Session Attack) を介して、SSH クライアントセッションのリモートエンドを制御する可能性があります。(CVE-2023-46446)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主机上安装的一个程序包受到 USN-7108-1 公告中提及的多个漏洞的影响。

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 发现 AsyncSSH 未正确处理扩展信息消息。能够拦截通信的攻击者可能利用此问题降级客户端身份验证的算法。 (CVE-2023-46445)

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 发现 AsyncSSH 未正确处理用户身份验证的请求信息。攻击者可能利用此问题，通过数据包注入/删除和 shell 模拟来控制 SSH 客户端会话的远程端。 (CVE-2023-46446)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 18.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-7108-2 advisory.

    USN-7108-1 fixed vulnerabilities in AysncSSH. This update provides the corresponding update for Ubuntu     18.04 LTS.



Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-d2956318e4 advisory.

    Security fix for CVE-2023-46446 and CVE-2023-46445

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3899 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3899-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     September 27, 2024                            https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : python-asyncssh     Version        : 2.5.0-0.1+deb11u1     CVE ID         : CVE-2023-46445 CVE-2023-46446 CVE-2023-48795     Debian Bug     : 1055999 1056000 1059007

    AsyncSSH is a Python package which provides an asynchronous client     and server implementation of the SSHv2 protocol on top of the Python     3.4+ asyncio framework. It has been discovered that it is vulnerable to

    CVE-2023-46445

        A vulnerability has been discovered that allows attackers to control         the extension info message (RFC 8308) via a man-in-the-middle attack         (aka Rogue Extension Negotiation).

    CVE-2023-46446

        A vulnerability has been discovered that allows attackers to control         the remote end of an SSH client session via packet injection/removal         and shell emulation (aka Rogue Session attack).

    CVE-2023-48795

        A vulnerability has been discovered allows remote attackers to bypass         integrity checks, and a client and server may consequently end up with         a connection for which some security features have been downgraded or         disabled (aka Terrapin attack).

    For Debian 11 bullseye, these problems have been fixed in version     2.5.0-0.1+deb11u1.

    We recommend that you upgrade your python-asyncssh packages.

    For the detailed security status of python-asyncssh please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/python-asyncssh

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

    Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 11 ホストには、dla-3899 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3899-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 9 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: python-asyncssh バージョン: 2.5.0-0.1+deb11u1 CVE ID: CVE-2023-46445 CVE-2023-46446 CVE-2023-48795 Debian バグ: 1055999 1056000 1059007

    AsyncSSH は、Python 3.4+ asyncio フレームワーク上で SSHv2 プロトコルのクライアントとサーバーの非同期実装を提供する Python パッケージです。次のものに対して脆弱であることが発見されました。

    CVE-2023-46445

        攻撃者が中間者攻撃 (別名 Rogue Extension Negotiation) を通じて拡張情報メッセージ (RFC 8308) を制御する可能性がある脆弱性が発見されました。

    CVE-2023-46446

        攻撃者が、パケットの注入/削除およびシェルエミュレーション (別名 Rogue Session Attack) を介して、SSH クライアントセッションのリモートエンドを制御する可能性がある脆弱性が発見されました。

    CVE-2023-48795

        リモートの攻撃者が整合性チェックをバイパスし、その結果、クライアントとサーバーが、一部のセキュリティ機能がダウングレードまたは無効にされた状態で接続を終了する (別名 Terrapin 攻撃) 可能性がある脆弱性が発見されました。

    Debian 11 bullseye においては、これらの問題はバージョン 2.5.0-0.1+deb11u1 で修正されました。

    お使いの python-asyncssh パッケージをアップグレードすることを推奨します。

    python-asyncssh の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/python-asyncssh

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

    添付ファイル:
    signature.asc 説明: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3899 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3899-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 9 月 27 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-asyncssh 版本：2.5.0-0.1+deb11u1 CVE ID：CVE-2023-46445 CVE-2023-46446 CVE-2023-48795 Debian 錯誤：1055999 1056000 1059007

    AsyncSSH 是 Python 套件，可在 Python 3.4+ asyncio 架構之上提供 SSHv2 通訊協定的非同步用戶端和伺服器實作。據發現，該套件易受

    CVE-2023-46445

        發現一個弱點，允許攻擊者透過攔截式攻擊 (即「惡意延伸交涉」) 控制延伸資訊訊息 (RFC 8308)。

    CVE-2023-46446

        發現一個弱點，允許攻擊者透過封包插入/移除和 shell 模擬，控制 SSH 用戶端工作階段的遠端 (即「惡意工作階段攻擊」)。

    CVE-2023-48795

        發現一個弱點，允許遠端攻擊者繞過完整性檢查，並且用戶端和伺服器可能因此以導致某些安全性功能被降級或停用的連線方式而結束 (即「Terrapin 攻擊」)。

    針對 Debian 11 Bullseye，已在 2.5.0-0.1+deb11u1 版本中修正這些問題。

    建議您升級 python-asyncssh 套件。

    如需 python-asyncssh 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-asyncssh

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：這是經數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的多个程序包受到 dla-3899 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3899-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 9 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-asyncssh 版本：2.5.0-0.1+deb11u1 CVE ID：CVE-2023-46445 CVE-2023-46446 CVE-2023-48795 Debian 错误：1055999 1056000 1059007

    AsyncSSH 是一个 Python 程序包，可在 Python 3.4+ asyncio 框架之上提供 SSHv2 协议的异步客户端和服务器实现。据发现，该程序包易受

    CVE-2023-46445

        发现一个漏洞，允许攻击者通过中间人攻击（也称为“恶意扩展协商”）来控制扩展信息消息 (RFC 8308)。

    CVE-2023-46446

        发现一个漏洞，允许攻击者通过数据包注入/删除和 shell 仿真来控制 SSH 客户端会话的远程端（也称为“恶意会话攻击”）。

    CVE-2023-48795

        发现一个漏洞，允许远程攻击者绕过完整性检查，并且客户端和服务器可能因此以导致某些安全功能被降级或禁用的连接方式结束（也称为“Terrapin 攻击”）。

    对于 Debian 11 bullseye，已在 2.5.0-0.1+deb11u1 版本中修复这些问题。

    我们建议您升级 python-asyncssh 程序包。

    如需了解 python-asyncssh 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-asyncssh

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：这是经数字签名的消息部分

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
210948	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : AsyncSSH vulnerabilities (USN-7108-1)	Nessus	Ubuntu Local Security Checks	2024/11/14	2024/11/18	medium
210948	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : AsyncSSH の脆弱性 (USN-7108-1)	Nessus	Ubuntu Local Security Checks	2024/11/14	2024/11/18	medium
210948	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：AsyncSSH 弱點 (USN-7108-1)	Nessus	Ubuntu Local Security Checks	2024/11/14	2024/11/18	medium
186277	Fedora 39 : python-asyncssh (2023-d2956318e4)	Nessus	Fedora Local Security Checks	2023/11/25	2024/11/15	medium
210948	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : AsyncSSH 漏洞 (USN-7108-1)	Nessus	Ubuntu Local Security Checks	2024/11/14	2024/11/18	medium
212697	Ubuntu 18.04 LTS : AsyncSSH vulnerabilities (USN-7108-2)	Nessus	Ubuntu Local Security Checks	2024/12/12	2024/12/12	medium
186277	Fedora 39 : python-asyncssh (2023-d2956318e4)	Nessus	Fedora Local Security Checks	2023/11/25	2024/11/15	medium
207872	Debian dla-3899 : python-asyncssh-doc - security update	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	critical
207872	Debian dla-3899: python-asyncssh-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	critical
207872	Debian dla-3899：python-asyncssh-doc - 安全性更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	critical
207872	Debian dla-3899：python-asyncssh-doc - 安全更新	Nessus	Debian Local Security Checks	2024/9/27	2024/9/27	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

critical

critical

critical

critical