David Black discovered that Update Manager incorrectly extracted the downloaded upgrade tarball before verifying its GPG signature. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could potentially be used to replace arbitrary files.
(CVE-2011-3152)

David Black discovered that Update Manager created a temporary directory in an insecure fashion. A local attacker could possibly use this flaw to read the XAUTHORITY file of the user performing the upgrade. (CVE-2011-3154)

This update also adds a hotfix to Update Notifier to handle cases where the upgrade is being performed from CD media.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

David Black は、Update Manager がダウンロードされたアップグレード tar 書庫の GPG 署名を検証する前に、間違って tar 書庫を取り出していることを発見しました。リモートの攻撃者が中間者攻撃を実行できる場合、この欠陥を利用することで、任意のファイルを取り替えるおそれがあります。
（CVE-2011-3152）

David Black 氏は Update Manager が安全でない方法で一時ディレクトリを作成することを発見しました。ローカルの攻撃者がこの欠陥を利用して、アップグレードを実行しているユーザーのXAUTHORITYファイルを読み取る可能性があります。（CVE-2011-3154）

アップグレードが CD メディアから実行されている場合、この更新はハンドラーケースの更新通知にホットフィックスも追加します。

注意: Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

USN-1284-1 が Update Manager の脆弱性を修正しました。修正の 1 つは、より新しい Ubuntu リリースにアップグレードしようとしている Kubuntu ユーザーの回帰を導入しました。この更新により問題が修正されます。

ご面倒をお掛けして申し訳ございません。

David Black は、Update Manager がダウンロードされたアップグレード tar 書庫の GPG 署名を検証する前に、間違って tar 書庫を取り出していることを発見しました。リモートの攻撃者が中間者攻撃を実行できる場合、この欠陥を利用することで、任意のファイルを取り替えるおそれがあります。
（CVE-2011-3152）

David Black 氏は Update Manager が安全でない方法で一時ディレクトリを作成することを発見しました。ローカルの攻撃者がこの欠陥を利用して、アップグレードを実行しているユーザーの XAUTHORITY ファイルを読み取る可能性があります。（CVE-2011-3154）

アップグレードが CD メディアから実行されている場合、この更新はハンドラーケースの更新通知にホットフィックスも追加します。

USN-1284-1 fixed vulnerabilities in Update Manager. One of the fixes introduced a regression for Kubuntu users attempting to upgrade to a newer Ubuntu release. This update fixes the problem.

We apologize for the inconvenience.

David Black discovered that Update Manager incorrectly extracted the downloaded upgrade tarball before verifying its GPG signature. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could potentially be used to replace arbitrary files.
(CVE-2011-3152)

David Black discovered that Update Manager created a temporary directory in an insecure fashion. A local attacker could possibly use this flaw to read the XAUTHORITY file of the user performing the upgrade. (CVE-2011-3154)

This update also adds a hotfix to Update Notifier to handle cases where the upgrade is being performed from CD media.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

David Black 發現 Update Manager 在驗證其 GPG 簽章之前未正確擷取已下載的升級 tarball。如果遠端攻擊者能執行攔截式攻擊，則可能利用此瑕疵來取代任意檔案。
(CVE-2011-3152)

David Black 發現 Update Manager 會以不安全的方式建立暫時目錄。本機攻擊者可能利用這個瑕疵，讀取執行升級的使用者之 XAUTHORITY 檔案。(CVE-2011-3154)

此更新也為 Update Notifier 新增了 hotfix，用以處理從 CD 媒體執行升級的情形。

David Black 发现 Update Manager 在验证其 GPG 签名前未正确提取下载的升级 tarball。如果远程攻击者能够执行中间人攻击，此缺陷可能用于替换任意文件。
(CVE-2011-3152)

David Black 发现 Update Manager 以不安全的方式创建临时目录。本地攻击者可能利用此缺陷来读取执行升级的用户的 XAUTHORITY 文件。(CVE-2011-3154)

此更新还添加 Update Notifier 的热修复以处理通过 CD 介质执行升级的情况。

USN-1284-1 修复了 Update Manager 中的漏洞。其中一个补丁对尝试升级到更高 Ubuntu 版本的 Kubuntu 用户引入了一项回归。此更新修复了该问题。

我们对不便之处表示抱歉。

David Black 发现 Update Manager 在验证其 GPG 签名前未正确提取下载的升级 tarball。如果远程攻击者能够执行中间人攻击，此缺陷可能用于替换任意文件。
(CVE-2011-3152)

David Black 发现 Update Manager 以不安全的方式创建临时目录。本地攻击者可能利用此缺陷来读取执行升级的用户的 XAUTHORITY 文件。(CVE-2011-3154)

此更新还添加 Update Notifier 的热修复以处理通过 CD 介质执行升级的情况。

USN-1284-1 已修正 Update Manager 中的弱點。其中一個修正對嘗試升級至更新 Ubuntu 版本的 Kubuntu 使用者引入了迴歸。此更新可修正該問題。

由此給您帶來的不便，我們深表歉意。

David Black 發現 Update Manager 在驗證其 GPG 簽章之前未正確擷取已下載的升級 tarball。如果遠端攻擊者能執行攔截式攻擊，則可能利用此瑕疵來取代任意檔案。
(CVE-2011-3152)

David Black 發現 Update Manager 會以不安全的方式建立暫時目錄。本機攻擊者可能利用這個瑕疵，讀取執行升級的使用者之 XAUTHORITY 檔案。(CVE-2011-3154)

此更新也為 Update Notifier 新增了 hotfix，用以處理從 CD 媒體執行升級的情形。

ID	名稱	產品	系列	已發布	已更新	嚴重性
56971	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10 : update-manager vulnerabilities (USN-1284-1)	Nessus	Ubuntu Local Security Checks	2011/11/29	2019/9/19	medium
56971	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-managerの脆弱性（USN-1284-1）	Nessus	Ubuntu Local Security Checks	2011/11/29	2019/9/19	medium
57997	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-manager の回帰（USN-1284-2）	Nessus	Ubuntu Local Security Checks	2012/2/17	2019/9/19	medium
57997	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10 : update-manager regression (USN-1284-2)	Nessus	Ubuntu Local Security Checks	2012/2/17	2019/9/19	medium
56971	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-manager 弱點 (USN-1284-1)	Nessus	Ubuntu Local Security Checks	2011/11/29	2019/9/19	medium
56971	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-manager 回归 (USN-1284-1)	Nessus	Ubuntu Local Security Checks	2011/11/29	2019/9/19	medium
57997	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-manager 回归 (USN-1284-2)	Nessus	Ubuntu Local Security Checks	2012/2/17	2019/9/19	medium
57997	Ubuntu 8.04 LTS / 10.04 LTS / 10.10 / 11.04 / 11.10：update-manager 迴歸 (USN-1284-2)	Nessus	Ubuntu Local Security Checks	2012/2/17	2019/9/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium