AlmaLinux 8qt5-qtbase 和 qt5-qtwebsockets (ALSA-2020:4690)

high Nessus Plugin ID 157637

概要

遠端 AlmaLinux 主機缺少一個或多個安全性更新。

說明

遠端 AlmaLinux 8 主機已安裝受到多個弱點影響的套件如 ALSA-2020:4690 公告中所提及。

- 5.14 及之前的 Qt 允許透過在 QXmlStreamReader 中未正確處理的建構 SVG 文件發動指數 XML 實體擴充攻擊,此問題與 CVE-2003-1564相關。(CVE-2015-9541)

- 在 5.14.1 及之前的 Qt 中,WebSocket 實作最多接受 2GB 的框架和 2GB 的訊息。
無法設定較小的限制。攻擊者可利用此弱點造成拒絕服務 (記憶體消耗)。 (CVE-2018-21035)

- Windows 10 版 Intel(R) PROSet/無線 WiFi 產品中存在超出邊界寫入問題,經驗證的使用者或可透過本機存取造成拒絕服務。(CVE-2020-0569)

- 在 QT 程式庫 5.14.0、5.12.7 和 5.9.10 之前版本中,不受控制的搜尋路徑可能允許經驗證的使用者透過本機存取權來實現特權提升。(CVE-2020-0570)

- 在 Mumble 1.3.0 和其他產品的非官方建構中使用的 Qt 5.12.2 至 5.14.2 版本未正確處理 OpenSSL 的錯誤隊列,這可導致對 QSslSocket 使用者拒絕服務。由於錯誤在不相關的 TLS 工作階段中洩漏,所以在任何交握失敗時,不相關的工作階段都可能會中斷連線。(無論 Qt 版本為何,Mumble 1.3.1 都不會受到影響。) (CVE-2020-13962)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

更新受影響的 qt5-qtbase-static 和/或 qt5-qttools-static 套件。

另請參閱

https://errata.almalinux.org/8/ALSA-2020-4690.html

Plugin 詳細資訊

嚴重性: High

ID: 157637

檔案名稱: alma_linux_ALSA-2020-4690.nasl

版本: 1.4

類型: local

已發布: 2022/2/9

已更新: 2023/11/10

支援的感應器: Continuous Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: Medium

基本分數: 4.4

時間性分數: 3.4

媒介: CVSS2#AV:L/AC:M/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: CVE-2020-0570

CVSS v3

風險因素: High

基本分數: 7.3

時間性分數: 6.6

媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:alma:linux:qt5-qtbase-static, cpe:/o:alma:linux:8, p-cpe:/a:alma:linux:qt5-qttools-static

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2020/11/3

弱點發布日期: 2020/1/24

參考資訊

CVE: CVE-2015-9541, CVE-2018-21035, CVE-2020-0569, CVE-2020-0570, CVE-2020-13962