Linux Distros 未修補弱點：CVE-2022-31108
medium Nessus Plugin ID 224705
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- Mernail 是一種以 JavaScript 為基礎的圖表繪製和圖表工具，其使用受 Markdown 啟發的文字定義和轉譯器來建立和修改複雜的圖表。攻擊者可在產生的圖形中插入任意「CSS」，允許他們變更產生的圖形之外的元素樣式，並可能透過使用特製的「CSS」選擇器洩漏敏感資訊。下列範例顯示攻擊者可如何透過每次一個字元對 `value` 屬性進行暴力破解，進而洩漏輸入欄位的內容。只要有實際相符項目，瀏覽器就會提出 `http` 要求，以載入背景影像，讓攻擊者知道字元的值是什麼。此問題可能會透過能夠產生 HTTP 要求的 CSS 選取器和函式，導致「資訊洩漏」。這也允許攻擊者以可能導致使用者執行非預期動作的方式變更文件，例如按一下連結等。此問題已在 9.1.3 版中獲得解決。建議所有使用者進行升級。無法升級的使用者應確保充分逸出使用者輸入，然後再將其嵌入 CSS 區塊。 (CVE-2022-31108)
請注意，Nessus 依賴供應商報告的套件存在。
解決方案
目前尚未有已知的解決方案。Plugin 詳細資訊
嚴重性: Medium
ID: 224705
檔案名稱: unpatched_CVE_2022_31108.nasl
版本: 1.1
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/3/5
已更新: 2025/3/5
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.8
CVSS v2
風險因素: Medium
基本分數: 5.8
時間性分數: 4.5
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2022-31108
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched
可被惡意程式利用: true
可輕鬆利用: Exploits are available
弱點發布日期: 2022/6/28
參考資訊
CVE: CVE-2022-31108