Amazon Linux 2：xdg-utils (ALAS-2023-2002)

high Nessus Plugin ID 173234

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

描述

遠端主機上安裝的 xdg-utils 版本低於 1.1.0-0.17.20120809git。因此，它受到 ALAS2-2023-2002 公告中所提及的多個弱點影響。

- 在 xdg-utils-1.1.0-rc1 和更新版本的 xdg-email 元件中發現一個缺陷。處理 mailto: URIs 時，xdg-email 允許在向 Thunderbird 傳送郵件時透過 URI 不引人注意地新增附件。攻擊者可能會傳送給受害者一個 URI，而此 URI 會在新電子郵件中自動附加敏感檔案。如果受害使用者未發現新增的附件並傳送電子郵件，這可能會導致敏感資訊洩漏。現已確認此問題背後的程式碼位於 xdg-email 中，而非 Thunderbird 中。(CVE-2020-27748)

- 若將 xdg-mail 設定為使用 thunderbird 處理 mailto URL ，則不當剖析 URL 可導致將其他標頭傳遞至 RFC 2368 不應包含的 Thunderbird。攻擊者可使用此方法建立對使用者而言看似安全的 mailto URL，當使用者按下此 URL 時則會附加檔案。(CVE-2022-4055)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。