AlmaLinux 9.2 [TuxCare] 安全性更新：ant / ant-antlr / ant-apache-bcel / ant-apache-bsf / ant-apache-oro / etc （ALMALINUX9.2：CLSA-2026：1789382807）

high Nessus Plugin ID 362151

語言:

概要

AlmaLinux 主機缺少一或多個安全性更新。

說明

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1789382807 公告中所述弱點影響。

- Apache Ant 的 ftp 和 scp 任務可以從遠端伺服器下載檔案。惡意伺服器可以提供相對路徑，使其能夠在下載的專用目標目錄之外寫入，從而可以使用在 Ant 1.10.18之前的版本中執行 Ant 的使用者的權限覆蓋攻擊者選擇的檔案。若要惡意探索此弱點，伺服器必須是惡意的，或受到中間機器攻擊。此外，在使用 ftps 的 scp 或 ftp 工作的情況下，伺服器必須通過工作所執行的伺服器身分檢查。對於不使用 ftp 的 ftp 任務，惡意伺服器可以充當中間機器來提供惡意檔案。
從 Ant 1.10.18 開始，依預設，這兩個工作都會防止在目標目錄之外寫入。
在現有組建檔案需要舊行為的情況下，可以使用選項停用此行為。緩解措施：任何版本的 Ant 中 scp 和 ftp （使用 ftps 時）的使用者都不應繞過伺服器身分檢查。不使用 ftps 的 ftp 使用者應盡可能切換到 ftps。建議所有使用者升級到 Apache Ant 1.10.18，這樣可以解決此問題。（CVE-2026-78254）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。