遠端 Ubuntu 16.04 LTS 主機上安裝的套件受到 USN-4609-1 公告中所提及的多個弱點影響。

  - 認可 56070d6289d47ba3f5918885954dcceb75606001 之前的 GONICUS GOsa 版本在變更密碼表單 (html/password.php，#308) 中有一個跨網站指令碼 (XSS)弱點，可導致任意 Web 指令碼或 HTML 插入。若要惡意利用此攻擊，必須由受害者開啟特製的 Web 頁面。此弱點似乎已在認可 56070d6289d47ba3f5918885954dcceb75606001 後修正。(CVE-2018-1000528)

  - 在 2019 年 4 月 11 日之前 GONICUS GOsa 的 LDAP 類別中，由於存取控制錯誤問題，攻擊者只要提供任意密碼，即可登入使用者名稱中包含區分大小寫子字串的任何帳戶。(CVE-2019-11187)

  - GONICUS GOsa 2.7.5.2 中的 GOsa_Filter_Settings cookie 容易受到 PHP 異議插入影響，經驗證的遠端攻擊者可以透過特製的 cookie 值執行檔案)刪除 (在執行 Web 伺服器的使用者帳戶內容中)，這是因為使用了未序列化以從 cookie 還原篩選設定。(CVE-2019-14466)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 16.04 LTS：GOsa 弱點 (USN-4609-1)

critical Nessus Plugin ID 142026

版本 1.4