遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10 主機上安裝的一個套件受到 USN-4953-1 公告中所提及的多個弱點影響。

  - Awstats 7.6 及之前版本容易受到處理「config」和「migrate」參數時引發的路徑遊走缺陷的攻擊，會造成未經授權在遠端執行程式碼。(CVE-2017-1000501)

  - 在 AWStats 7.7 及之前的所有版本中，cgi-bin/awstats.pl?config= 會接受絕對路徑名稱，即使其原本只打算讀取 /etc/awstats/awstats.conf 格式的檔案亦然。注意：此問題之所以存在，是因為 CVE-2017-1000501 的修正不完整。(CVE-2020-29600)

  - 在 AWStats 7.8 及之前的所有版本中，cgi-bin/awstats.pl?config= 會接受部分絕對路徑名稱 (忽略 initial /etc)，即使其原本只打算讀取 /etc/awstats/awstats.conf 格式的檔案亦然。
    注意：此問題之所以存在，是因為 CVE-2017-1000501 和 CVE-2020-29600 的修正不完整。
    (CVE-2020-35176)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS：AWStats 弱點 (USN-4953-1)

critical Nessus Plugin ID 149478

找不到依附元件