The remote Ubuntu 16.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4789-1 advisory.

  - Buffer overflow in the C cli shell in Apache Zookeeper before 3.4.9 and 3.5.x before 3.5.3, when using the     cmd: batch mode syntax, allows attackers to have unspecified impact via a long command string.
    (CVE-2016-5017)

  - Two four letter word commands wchp/wchc are CPU intensive and could cause spike of CPU utilization on     Apache ZooKeeper server if abused, which leads to the server unable to serve legitimate client requests.
    Apache ZooKeeper thru version 3.4.9 and 3.5.2 suffer from this issue, fixed in 3.4.10, 3.5.3, and later.
    (CVE-2017-5637)

  - No authentication/authorization is enforced when a server attempts to join a quorum in Apache ZooKeeper     before 3.4.10, and 3.5.0-alpha through 3.5.3-beta. As a result an arbitrary end point could join the     cluster and begin propagating counterfeit changes to the leader. (CVE-2018-8012)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 16.04 ESM ホストには、USN-4789-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Zookeeper の 3.4.9 より前 3.5.3 より前の 3.5.x の C cli シェルのバッファオーバーフローにより、cmd:batch モード構文で使用する際、攻撃者が、長いコマンド文字列で詳細不明な影響を引き起こす可能性があります。
    (CVE-2016-5017)

  - 4 文字の 2 つのコマンド「wchp/wchc」は CPU に負荷をかけ、悪用されると Apache ZooKeeper サーバーで CPU 使用率のスパイクを引き起こす可能性があります。そうなると、サーバーは正当なクライアントリクエストを処理できなくなります。
    バージョン3.4.9および3.5.2までのApache ZooKeeperはこの問題の影響を受けますが、3.4.10および3.5.3以降では修正されています。
    (CVE-2017-5637)

  - Apache ZooKeeper の 3.4.10 より前、3.5.0-alpha から 3.5.3-beta では、サーバーがクォーラムに参加しようとする際、認証/承認が強制されません。その結果、任意のエンドポイントがクラスターに参加しリーダーに偽造の変更を伝播し始めます。(CVE-2018-8012)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Lyon Yang 发现，Apache Zookeeper（一种适用于分布式应用程序的高性能协调服务）的 C 客户端 Shell cli_st 和 cli_mt of 会受到缓冲区溢出漏洞的影响，该漏洞与使用“cmd:”批次模式语法来解析输入命令有关。如果命令字符串超过 1024 个字符，将会发生缓冲区溢出。

对于 Debian 7“Wheezy”，这些问题已在 3.3.5+dfsg1-2+deb7u1 版本中修复。

建议您升级 zookeeper 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4789-1 公告中提及的多个漏洞影响。

  -  3.4.9 之前和 3.5.3 之前的 3.5.x 版本 Apache Zookeeper 中 C cli shell 中存在缓冲区溢出，在使用 cmd: 批次模式语法允许攻击者通过长命令字符串造成不明影响。
    (CVE-2016-5017)

  - 两个四字母词命令 wchp/wchc 是 CPU 密集型命令，如果滥用，可能会导致 Apache ZooKeeper 服务器上的 CPU 使用率激增，从而导致服务器无法服务合法的客户端请求。
    Apache ZooKeeper 3.4.9 和 3.5.2 之前的版本都存在此问题，该问题已在 3.4.10、3.5.3及更高版本中修复。
    (CVE-2017-5637)

  - 当服务器在 3.4.10 之前以及 3.5.0-alpha 到 3.5.3-beta 版本的 Apache ZooKeeper 中尝试加入 quorum 时，不会强制执行身份验证/授权。因此，任意端点都可以加入集群并开始向领导者传播伪造的更改。(CVE-2018-8012)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Lyon Yang 發現，Apache Zookeeper (一種適用於分散式應用程式的高效能協調服務) 的 C 用戶端 Shell cli_st 和 cli_mt of 會受到一個緩衝區溢位弱點影響，該弱點與使用「cmd:」批次模式語法來剖析輸入命令有關。如果命令字串超過 1024 個字元，將會發生緩衝區溢位。

針對 Debian 7「Wheezy」，這些問題已在 3.3.5+dfsg1-2+deb7u1 版本中修正。

建議您升級 zookeeper 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Lyon Yang discovered that the C client shells cli_st and cli_mt of Apache Zookeeper, a high-performance coordination service for distributed applications, were affected by a buffer overflow vulnerability associated with parsing of the input command when using the 'cmd:' batch mode syntax. If the command string exceeds 1024 characters a buffer overflow will occur.

For Debian 7 'Wheezy', these problems have been fixed in version 3.3.5+dfsg1-2+deb7u1.

We recommend that you upgrade your zookeeper packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Security fix for CVE-2016-5017 (update to 3.4.9)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

遠端主機上執行的 Apache ZooKeeper 版本為 3.4.10 之前版本或 3.5.3 之前的 3.5.x 版。因此受到多個弱點影響：- C cli 殼層中有一個緩衝區溢位弱點。使用「cmd:」批次模式語法可讓攻擊者透過長命令字串造成不明影響。(CVE-2016-5017) - 有一個拒絕服務 (DoS) 弱點，這是因為兩個會造成 ZooKeeper 伺服器上的 CPU 使用量突增的四字母命令所致。未經驗證的遠端攻擊者可惡意利用此問題，造成應用程式停止回應。(CVE-2017-5637)

遠端 Ubuntu 16.04 ESM 主機上安裝的多個套件受到 USN-4789-1 公告中提及的多個弱點影響。

  - 在 Apache Zookeeper 3.4.9 之前版本以及 3.5.x 至 3.5.3 版本中，使用 cmd: 批次模式語法時，C cli 殼層中的緩衝區溢位弱點可讓攻擊者透過長命令字串造成不明影響。
    (CVE-2016-5017)

  - 兩個由四個字母組成的命令 wchp/wchc 會佔用大量 CPU，而且如果遭到濫用，可造成 Apache ZooKeeper 伺服器上的 CPU 使用率達到峰值，進而導致伺服器無法處理合法的用戶端要求。
    Apache ZooKeeper 3.4.9 之前版本以及 3.5.2 版本會受到此問題影響，但此問題已在 3.4.10、3.5.3 和更新版本中得以修正。
    (CVE-2017-5637)

  - 在 Apache ZooKeeper 3.4.10 之前版本以及 3.5.0-alpha 至 3.5.3-beta 版本中，當伺服器嘗試加入 quorum 時，不會強制執行驗證/授權。因此，任意端點可加入叢集，並開始將偽造的變更傳播至 leader。(CVE-2018-8012)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上侦听的 Apache ZooKeeper 版本低于 3.4.10，或是低于 3.5.3 的 3.5.x。因而受到多个漏洞的影响：- C cli shell 中存在缓冲区溢出漏洞。使用“cmd:”批次模式语法允许攻击者通过长命令字符串造成不明影响。(CVE-2016-5017) - 存在拒绝服务 (DoS) 漏洞，这是因为两个会造成 ZooKeeper 服务器上的 CPU 使用量突增的四字母命令所致。未经身份验证的远程攻击者可利用此问题造成应用程序停止响应。(CVE-2017-5637)

Lyon Yang 氏は、分散アプリケーション用の高パフォーマンス調整サービスである　Apache Zookeeper の C クライアントシェルの cli_st と cli_mt が、バッファオーバーフローの脆弱性の影響を受けることを発見しました。この脆弱性は、「cmd:」バッチモードシンタックスを使用する際の入力コマンドの解析に関連しています。コマンドの文字列が 1024 文字を超えると、バッファオーバーフローが発生します。

Debian 7「Wheezy」では、これらの問題はバージョン 3.3.5+dfsg1-2+deb7u1 で修正されました。

zookeeper パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

CVE-2016-5017のセキュリティ修正（3.4.9への更新）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストで待機しているApache ZooKeeperのバージョンは、3.4.10より前、または3.5.3より前の3.5.xです。したがって、複数の脆弱性の影響を受けます。 - C cliシェルのバッファオーバーフローの脆弱性。「cmd:」バッチモード構文を使用すると、攻撃者が長いコマンド文字列を介して詳細不明な影響を与える可能性があります。（CVE-2016-5017）- ZooKeeperサーバーでCPUスパイクを引き起こす2つの4文字のワードコマンドにより、サービス拒否（DoS）の脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用し、アプリケーションの応答を停止させる可能性があります。（CVE-2017-5637）

The version of Apache ZooKeeper listening on the remote host is prior to 3.4.10 or 3.5.x prior to 3.5.3. It is, therefore, affected by multiple vulnerabilities:

  - A buffer overflow vulnerability in the C cli shell. Using     the 'cmd:' batch mode syntax allows attackers to have an     unspecified impact via a long command string.     (CVE-2016-5017)

  - A denial of service (DoS) vulnerability exists in due to two     four letter word commands which cause CPU spikes on ZooKeeper     server. An unauthenticated, remote attacker can exploit this     issue to cause the application to stop responding.     (CVE-2017-5637)

ID	名稱	產品	系列	已發布	已更新	嚴重性
183528	Ubuntu 16.04 ESM : Apache ZooKeeper vulnerabilities (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
183528	Ubuntu 16.04 ESM: Apache ZooKeeper の脆弱性 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
93570	Debian DLA-630-1：zookeeper 安全更新	Nessus	Debian Local Security Checks	2016/9/19	2021/1/11	high
183528	Ubuntu 16.04 ESM：Apache ZooKeeper 漏洞 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
93570	Debian DLA-630-1：zookeeper 安全性更新	Nessus	Debian Local Security Checks	2016/9/19	2021/1/11	high
93570	Debian DLA-630-1 : zookeeper security update	Nessus	Debian Local Security Checks	2016/9/19	2021/1/11	high
96203	Fedora 24 : zookeeper (2016-54a717d5d6)	Nessus	Fedora Local Security Checks	2017/1/3	2021/1/11	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 多個弱點	Nessus	Misc.	2019/5/31	2023/10/20	high
183528	Ubuntu 16.04 ESM：Apache ZooKeeper 弱點 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 多个漏洞	Nessus	Misc.	2019/5/31	2023/10/20	high
93570	Debian DLA-630-1：zookeeper セキュリティ更新	Nessus	Debian Local Security Checks	2016/9/19	2021/1/11	high
96203	Fedora 24：zookeeper（2016-54a717d5d6）	Nessus	Fedora Local Security Checks	2017/1/3	2021/1/11	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10/3.5.x < 3.5.3の複数の脆弱性	Nessus	Misc.	2019/5/31	2023/10/20	high
96204	Fedora 25：zookeeper（2016-5557ccf1f9）	Nessus	Fedora Local Security Checks	2017/1/3	2021/1/11	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 Multiple Vulnerabilities	Nessus	Misc.	2019/5/31	2023/10/20	high
96204	Fedora 25 : zookeeper (2016-5557ccf1f9)	Nessus	Fedora Local Security Checks	2017/1/3	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high