Zack Flack found several issues in monit, a utility for monitoring and managing daemons or similar programs.

CVE-2019-11454 An XSS vulnerabilitty has been reported that could be prevented by HTML escaping the log file content when viewed via Monit GUI.

CVE-2019-11455 A buffer overrun vulnerability has been reported in URL decoding.

For Debian 8 'Jessie', these problems have been fixed in version 1:5.9-1+deb8u2.

We recommend that you upgrade your monit packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Zack Flack discovered that Monit incorrectly handled certain input. A remote authenticated user could exploit this to conduct cross-site scripting (XSS) attacks. (CVE-2019-11454)

Zack Flack discovered a buffer overread when Monit decoded certain crafted URLs. An attacker could exploit this to leak potentially sensitive information. (CVE-2019-11455).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Zack Flack氏が、デーモンや同様のプログラムを監視、管理するためのmonitのユーティリティに複数の問題を発見しました。

CVE-2019-11454Monit GUIで表示したときにHTMLがログファイルのコンテンツを回避することで防止できる可能性のある、XSSの脆弱性が報告されています。

CVE-2019-11455URLデコードでのバッファオーバーランの脆弱性が報告されています。

Debian 8「Jessie」では、これらの問題はバージョン1:5.9-1+deb8u2で修正されました。

お使いのmonitパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Update to 5.26.0 (includes security fix for CVE-2019-11454 and CVE-2019-11455)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Zack Flack 在 monit 中发现数个问题，这是用来监控和管理后台程序或类似程序的实用工具。CVE-2019-11454 已报告一个 XSS 漏洞，通过 Monit GUI 查看时，HTML 可防止此漏洞泄露日志文件内容。CVE-2019-11455 在 URL 解码中报告一个缓冲区溢出漏洞。对于 Debian 8“Jessie”，这些问题已在 1:5.9-1+deb8u2 版本中修复。我们建议您升级 monit 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Zack Flack 發現 Monit 未正確處理某些輸入。經驗證的遠端使用者可惡意利用此弱點，發動跨網站指令碼 (XSS) 攻擊。(CVE-2019-11454) Zack Flack 在 Monit 解碼某些特製的 URL 時，發現緩衝區過度讀取。攻擊者可惡意利用此弱點洩漏可能敏感的資訊。(CVE-2019-11455)。請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Zack Flack氏は、Monitが特定の入力を不適切に処理していることを発見しました。リモートの認証されたユーザーがこれを悪用して、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります。（CVE-2019-11454）Zack Flack氏は、Monitが細工された特定のURLをデコードしたときのバッファオーバーリードを発見しました。攻撃者がこれを悪用して、秘密情報を漏えいする可能性があります。（CVE-2019-11455）注意：Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Zack Flack 发现 Monit 未能正确处理某些输入。经身份验证的远程攻击者可利用此问题进行跨站脚本 (XSS) 攻击。(CVE-2019-11454) Zack Flack 在 Monit 解码某些特制的 URL 时，发现缓冲区过度读取。攻击者可利用此漏洞泄露潜在敏感信息。(CVE-2019-11455)。请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

5.26.0への更新（CVE-2019-11454およびCVE-2019-11455のセキュリティ修正を含む）　

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Zack Flack 在 monit 發現數個問題，這是用來監視和管理精靈或類似程式的公用程式。CVE-2019-11454 已報告一個 XSS 弱點，透過 Monit GUI 檢視時，HTML 可防止此弱點逸出記錄檔內容。CVE-2019-11455 在 URL 解碼中報告一個緩衝區溢位弱點。針對 Debian 8「Jessie」，這些問題已在 1:5.9-1+deb8u2 版本中修正。建議您升級 monit 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The remote Ubuntu 16.04 ESM / 18.04 ESM host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-4860-1 advisory.

  - Persistent cross-site scripting (XSS) in http/cervlet.c in Tildeslash Monit before 5.25.3 allows a remote     unauthenticated attacker to introduce arbitrary JavaScript via manipulation of an unsanitized user field     of the Authorization header for HTTP Basic Authentication, which is mishandled during an _viewlog     operation. (CVE-2019-11454)

  - A buffer over-read in Util_urlDecode in util.c in Tildeslash Monit before 5.25.3 allows a remote     authenticated attacker to retrieve the contents of adjacent memory via manipulation of GET or POST     parameters. The attacker can also cause a denial of service (application outage). (CVE-2019-11455)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 9 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-2855 advisory.

  - Persistent cross-site scripting (XSS) in http/cervlet.c in Tildeslash Monit before 5.25.3 allows a remote     unauthenticated attacker to introduce arbitrary JavaScript via manipulation of an unsanitized user field     of the Authorization header for HTTP Basic Authentication, which is mishandled during an _viewlog     operation. (CVE-2019-11454)

  - A buffer over-read in Util_urlDecode in util.c in Tildeslash Monit before 5.25.3 allows a remote     authenticated attacker to retrieve the contents of adjacent memory via manipulation of GET or POST     parameters. The attacker can also cause a denial of service (application outage). (CVE-2019-11455)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4860-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.25.3より前の Tildeslash Monit の http/cervlet.c の永続的クロスサイトスクリプティング (XSS) により、認証されていないリモート攻撃者が、HTTP 基本認証用の承認ヘッダーのサニタイズされていないユーザーフィールドを操作することで、任意の JavaScript を導入する可能性があります。これは、_viewlog 操作中に誤って処理されます。(CVE-2019-11454)

  - 5.25.3より前の Tildeslash Monit の util.c の Util_urlDecode のバッファオーバーリードにより、リモートの認証された攻撃者が、GET または POST パラメーターを操作することで、隣接するメモリのコンテンツを取得する可能性があります。攻撃者は、サービス拒否 (アプリケーションの停止) を引き起こす可能性もあります。(CVE-2019-11455)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 9 ホストには、dla-2855 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.25.3より前の Tildeslash Monit の http/cervlet.c の永続的クロスサイトスクリプティング (XSS) により、認証されていないリモート攻撃者が、HTTP 基本認証用の承認ヘッダーのサニタイズされていないユーザーフィールドを操作することで、任意の JavaScript を導入する可能性があります。これは、_viewlog 操作中に誤って処理されます。(CVE-2019-11454)

  - 5.25.3より前の Tildeslash Monit の util.c の Util_urlDecode のバッファオーバーリードにより、リモートの認証された攻撃者が、GET または POST パラメーターを操作することで、隣接するメモリのコンテンツを取得する可能性があります。攻撃者は、サービス拒否 (アプリケーションの停止) を引き起こす可能性もあります。(CVE-2019-11455)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

遠端 Ubuntu 16.04 ESM/18.04 ESM 主機上安裝的套件受到 USN-4860-1 公告中提及的多個弱點影響。

  - 在 5.25.3 版之前的 Tildeslash Monit 中，未經驗證的遠端攻擊者可以利用 http/cervlet.c 中的持續跨網站指令碼 (XSS) 弱點，透過操控 HTTP 基本驗證的授權標頭中未清理的使用者欄位，引入任意 JavaScript；此弱點是由於在執行 _viewlog 作業期間處理不當所致。(CVE-2019-11454)

  - 在 5.25.3 版之前的 Tildeslash Monit 中，util.c 中的 Util_urlDecode 中存在緩衝區過度讀取問題，其允許經驗證的遠端攻擊者透過操控 GET 或 POST 參數擷取相鄰記憶體的內容。攻擊者亦可造成拒絕服務 (應用程式中斷)。(CVE-2019-11455)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 9 主機上安裝的一個套件受 dla-2855 公告中提及的多個弱點影響。

  - 在 5.25.3 版之前的 Tildeslash Monit 中，未經驗證的遠端攻擊者可以利用 http/cervlet.c 中的持續跨網站指令碼 (XSS) 弱點，透過操控 HTTP 基本驗證的授權標頭中未清理的使用者欄位，引入任意 JavaScript；此弱點是由於在執行 _viewlog 作業期間處理不當所致。(CVE-2019-11454)

  - 在 5.25.3 版之前的 Tildeslash Monit 中，util.c 中的 Util_urlDecode 中存在緩衝區過度讀取問題，其允許經驗證的遠端攻擊者透過操控 GET 或 POST 參數擷取相鄰記憶體的內容。攻擊者亦可造成拒絕服務 (應用程式中斷)。(CVE-2019-11455)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Debian 9 主机上安装的程序包受到 dla-2855 公告中提及的多个漏洞影响。

  - 在 5.25.3 之前版本的 Tildeslash Monit 中，未经身份验证的远程攻击者可以利用 http/cervlet.c 中的持久性跨站脚本 (XSS) 漏洞，通过操纵 HTTP 基本身份验证的授权标头的未清除用户字段来引入任意 JavaScript，而造成该漏洞的原因是在 _viewlog 操作期间处理不当。(CVE-2019-11454)

  - 在 5.25.3 之前版本的 Tildeslash Monit 中，util.c 的 Util_urlDecode 中存在一个缓冲区过度读取漏洞，该漏洞允许经过身份认证的远程攻击者通过操纵 GET 或 POST 参数来检索邻近内存的内容。攻击者还可造成拒绝服务（应用程序中断）。(CVE-2019-11455)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的一个程序包受到 USN-4860-1 公告中提及的多个漏洞影响。

  - 在 5.25.3 之前版本的 Tildeslash Monit 中，未经身份验证的远程攻击者可以利用 http/cervlet.c 中的持久性跨站脚本 (XSS) 漏洞，通过操纵 HTTP 基本身份验证的授权标头的未清除用户字段来引入任意 JavaScript，而造成该漏洞的原因是在 _viewlog 操作期间处理不当。(CVE-2019-11454)

  - 在 5.25.3 之前版本的 Tildeslash Monit 中，util.c 的 Util_urlDecode 中存在一个缓冲区过度读取漏洞，该漏洞允许经过身份认证的远程攻击者通过操纵 GET 或 POST 参数来检索邻近内存的内容。攻击者还可造成拒绝服务（应用程序中断）。(CVE-2019-11455)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
124340	Debian DLA-1767-1 : monit security update	Nessus	Debian Local Security Checks	2019/4/29	2024/5/31	high
124718	Ubuntu 18.10 / 19.04 : Monit vulnerabilities (USN-3971-1)	Nessus	Ubuntu Local Security Checks	2019/5/9	2024/5/24	high
124340	DebianDLA-1767-1: monitのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/4/29	2024/5/31	high
134461	Fedora 31 : monit (2020-9c19202d55)	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
124340	Debian DLA-1767-1：monit 安全更新	Nessus	Debian Local Security Checks	2019/4/29	2024/5/31	high
124718	Ubuntu 18.10 / 19.04：Monit 弱點 (USN-3971-1)	Nessus	Ubuntu Local Security Checks	2019/5/9	2024/5/24	high
124718	Ubuntu 18.10/19.04：Monitの脆弱性（USN-3971-1）	Nessus	Ubuntu Local Security Checks	2019/5/9	2024/5/24	high
124718	Ubuntu 18.10 / 19.04：Monit 漏洞 (USN-3971-1)	Nessus	Ubuntu Local Security Checks	2019/5/9	2024/5/24	high
134461	Fedora 31：monit（2020-9c19202d55）	Nessus	Fedora Local Security Checks	2020/3/13	2024/3/22	high
124340	Debian DLA-1767-1：monit 安全性更新	Nessus	Debian Local Security Checks	2019/4/29	2024/5/31	high
183601	Ubuntu 16.04 ESM / 18.04 ESM : Monit vulnerabilities (USN-4860-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
156320	Debian DLA-2855-1 : monit - LTS security update	Nessus	Debian Local Security Checks	2021/12/27	2023/11/22	high
183601	Ubuntu 16.04ESM / 18.04ESM : Monit の脆弱性 (USN-4860-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
156320	Debian DLA-2855-1 : monit - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2021/12/27	2023/11/22	high
183601	Ubuntu 16.04 ESM / 18.04 ESM：Monit 弱點 (USN-4860-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
156320	Debian DLA-2855-1：monit - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/12/27	2023/11/22	high
156320	Debian DLA-2855-1：monit - LTS 安全更新	Nessus	Debian Local Security Checks	2021/12/27	2023/11/22	high
183601	Ubuntu 16.04 ESM / 18.04 ESM：Monit 漏洞 (USN-4860-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high