遠端 Ubuntu 22.04 LTS/24.04 LTS/24.10 主機上安裝的一個套件受到 USN-7260-1 公告中所提及的多個弱點影響。

    據發現，OpenRefine 未正確處理 tar 檔案的開啟。如果使用者或應用程式遭誘騙而開啟特製的 tar 檔案，則攻擊者可能會利用此問題來執行任意程式碼。這個問題只會影響 Ubuntu 22.04 LTS。(CVE-2023-37476)

    據發現，OpenRefine 未正確處理檔案權限和使用者驗證。未經驗證的攻擊者可能會利用此問題洩漏敏感資訊或執行任意程式碼。這個問題只會影響 Ubuntu 22.04 LTS。(CVE-2023-41886、CVE-2023-41887)

    據發現，OpenRefine 未正確禁止在查詢時修改資料庫設定。
    攻擊者可能會利用此問題來造成敏感資訊洩漏。此問題僅影響 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-23833)

    據發現，OpenRefine 未正確清理授權命令的 GET 參數，進而導致跨網站指令碼弱點。攻擊者可能利用此問題執行任意程式碼。(CVE-2024-47878)

    據發現，OpenRefine 在執行 preview-expression 命令時，未正確防止跨網站要求偽造攻擊。如果使用者或應用程式遭誘騙而開啟特製的 Web 頁面，則攻擊者可能會利用此問題來執行任意程式碼。(CVE-2024-47879)

    據發現，OpenRefine 未正確處理 HTTP 標頭。攻擊者可能利用此問題執行任意程式碼。(CVE-2024-47880)

    據發現，OpenRefine 未正確處理資料庫擴充。攻擊者可能利用此問題執行任意程式碼。(CVE-2024-47881)

    據發現，OpenRefine 未正確逸出例外狀況訊息中的 HTML 標籤，這可導致程式碼插入。如果使用者或應用程式遭誘騙而開啟惡意檔案，則攻擊者可能會利用此問題來執行任意程式碼。(CVE-2024-47882)

    據發現，OpenRefine 在執行 load-language 命令時，未正確處理路徑。
    攻擊者可能會利用此問題來造成敏感資訊洩漏。(CVE-2024-49760)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 22.04 LTS / 24.04 LTS / 24.10：OpenRefine 弱點 (USN-7260-1)

critical Nessus Plugin ID 215187

版本 1.1