The remote SUSE Linux SLES12 / SLES_SAP12 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:4351-1 advisory.

  - A External Control of File Name or Path vulnerability in osc of SUSE Linux Enterprise Module for     Development Tools 15, SUSE Linux Enterprise Software Development Kit 12-SP5, SUSE Linux Enterprise     Software Development Kit 12-SP4; openSUSE Leap 15.1, openSUSE Factory allowed remote attackers that can     change downloaded packages to overwrite arbitrary files. This issue affects: SUSE Linux Enterprise Module     for Development Tools 15 osc versions prior to 0.169.1-3.20.1. SUSE Linux Enterprise Software Development     Kit 12-SP5 osc versions prior to 0.162.1-15.9.1. SUSE Linux Enterprise Software Development Kit 12-SP4 osc     versions prior to 0.162.1-15.9.1. openSUSE Leap 15.1 osc versions prior to 0.169.1-lp151.2.15.1. openSUSE     Factory osc versions prior to 0.169.0 . (CVE-2019-3681)

  - Open Build Service before version 0.165.4 diddn't validate TLS certificates for HTTPS connections with the     osc client binary (CVE-2019-3685)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for osc to 0.169.1 fixes the following issues :

Security issue fixed :

  - CVE-2019-3681: Fixed an insufficient validation of     network-controlled filesystem paths (bsc#1122675).

Non-security issues fixed :

  - Improved the speed and usability of osc bash completion.

  - improved some error messages.

  - osc add: support git@ (private github) or git:// URLs     correctly.

  - Split dependson and whatdependson commands.

  - Added support for osc build --shell-cmd.

  - Added pkg-ccache support for osc build.

  - Added --ccache option to osc getbinaries 

This update was imported from the SUSE:SLE-15-SP1:Update update project.

このoscの0.169.1への更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-3681：ネットワーク制御ファイルシステムパスの不十分な検証を修正しました（bsc#1122675）。

修正された非セキュリティ問題：

  - osc bash完了の速度と使いやすさを改善しました。

  - 一部のエラーメッセージを改善します

  - oscの追加：git@（プライベートgithub）またはgit：// URLを正しくサポートします。

  - dependonコマンドとwhatdependsonコマンドを分離します。

  - oscビルド--shell-cmdに対するサポートを追加しました。

  - oscビルドに対するpkg-ccacheサポートを追加しました。

  - osc getbinariesに--ccacheオプションを追加しました 

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:4351-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - SUSE Linux Enterprise Module for Development Tools 15、SUSE Linux Enterprise Software Development Kit 12-SP5、SUSE Linux Enterprise Software Development Kit 12-SP4; openSUSE Leap 15.1、openSUSE Factory の osc にファイル名またはパスの外部コントロールの脆弱性があり、ダウンロードしたパッケージを変更できるリモート攻撃者が任意のファイルを上書きしてしまう可能性がありました。この問題の影響を受ける対象:0.169.1-3.20.1 以前の SUSE Linux Enterprise Module for Development Tools 15 osc のバージョン。0.162.1-15.9.1以前の SUSE Linux Enterprise Software Development Kit 12-SP5 osc のバージョン。0.162.1-15.9.1 以前の SUSE Linux Enterprise Software Development Kit 12-SP4 osc のバージョン。0.169.1-lp151.2.15.1 以前の openSUSE Leap 15.1 osc のバージョン。0.169.0 以前の openSUSE Factory osc のバージョン。(CVE-2019-3681)

  - バージョン 0.165.4 より前の Open Build Service は、osc クライアントバイナリによる HTTPS 接続の TLS 証明書を検証していませんでした (CVE-2019-3685)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
168492	SUSE SLES12 Security Update : osc (SUSE-SU-2022:4351-1)	Nessus	SuSE Local Security Checks	2022/12/8	2023/7/14	critical
138699	openSUSE Security Update : osc (openSUSE-2020-852)	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	critical
138699	openSUSEセキュリティ更新プログラム：osc（openSUSE-2020-852）	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	critical
168492	SUSE SLES12 セキュリティ更新: osc (SUSE-SU-2022:4351-1)	Nessus	SuSE Local Security Checks	2022/12/8	2023/7/14	critical

偵測

搜尋 Plugin

critical

critical

critical

critical