遠端主機上安裝的測試產品版本比測試版本舊。因此，會受到 ALAS-2020-1419 公告中所提及的多個弱點影響。

  - 在 CISOfy Lynis 2.x 至 2.7.5 中，執行資料上傳時可透過查看處理程序清單來取得授權金鑰。此授權可用來將資料上傳至中央 Lynis 伺服器。
    雖然知道授權金鑰無法擷取任何資料，但可以上傳其他掃描的資料。(CVE-2019-13033)

  - 在 CISOfy Lynis 3.0.0 之前版本中，由於 TOCTOU 爭用條件而發生錯誤的存取控制。檢查記錄和報告檔案權限的常式未如預期運作，且可在本機繞過。
    由於存在爭用條件，無權限的攻擊者可以設定記錄和報告檔案，並在特定常式進行檢查時加以控制。之後即可移除該檔案，再重新建立並將其用於其他攻擊。(CVE-2020-13882)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Amazon Linux AMI：lynis (ALAS-2020-1419)

medium Nessus Plugin ID 140091

找不到變更記錄