The remote host is affected by the vulnerability described in GLSA-202011-04 (Fossil: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Fossil. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could entice a user to open a specially crafted       repository using Fossil, possibly resulting in execution of arbitrary       code with the privileges of the process or a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前的 2.10.2、 2.11.x 之前的 2.11.2以及 2.12.x 之前的 2.12.1 版本的 Fossil 允许经认证的用户远程执行任意代码。攻击者必须拥有存储库的签入权限。 (CVE-2020-24614)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 2.10.2之前的 Fossil、 2.11.x 之前的 2.11.2和 2.12.x 之前的 2.12.1 允許經驗證的遠端使用者執行任意程式碼。攻擊者必須擁有存放庫的簽入權限。 (CVE-2020-24614)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

This update for fossil fixes the following issues :

  - fossil 2.12.1 :

  - CVE-2020-24614: Remote authenticated users with check-in     or administrative privileges could have executed     arbitrary code [boo#1175760]

  - Security fix in the 'fossil git export' command. New     'safety-net' features were added to prevent similar     problems in the future.

  - Enhancements to the graph display for cases when there     are many cherry-pick merges into a single check-in.
    Example

  - Enhance the fossil open command with the new --workdir     option and the ability to accept a URL as the repository     name, causing the remote repository to be cloned     automatically. Do not allow 'fossil open' to open in a     non-empty working directory unless the --keep option or     the new --force option is used.

  - Enhance the markdown formatter to more closely follow     the CommonMark specification with regard to text     highlighting. Underscores in the middle of identifiers     (ex: fossil_printf()) no longer need to be escaped.

  - The markdown-to-html translator can prevent unsafe HTML     (for example: <script>) on user-contributed pages like     forum and tickets and wiki. The admin can adjust this     behavior using the safe-html setting on the Admin/Wiki     page. The default is to disallow unsafe HTML everywhere.

  - Added the 'collapse' and 'expand' capability for long     forum posts.

  - The 'fossil remote' command now has options for     specifying multiple persistent remotes with symbolic     names. Currently only one remote can be used at a time,     but that might change in the future.

  - Add the 'Remember me?' checkbox on the login page. Use a     session cookie for the login if it is not checked.

  - Added the experimental 'fossil hook' command for     managing 'hook scripts' that run before checkin or after     a push.

  - Enhance the fossil revert command so that it is able to     revert all files beneath a directory.

  - Add the fossil bisect skip command.

  - Add the fossil backup command.

  - Enhance fossil bisect ui so that it shows all unchecked     check-ins in between the innermost 'good' and 'bad'     check-ins.

  - Added the --reset flag to the 'fossil add', 'fossil rm',     and 'fossil addremove' commands.

  - Added the '--min N' and '--logfile FILENAME' flags to     the backoffice command, as well as other enhancements to     make the backoffice command a viable replacement for     automatic backoffice. Other incremental backoffice     improvements.

  - Added the /fileedit page, which allows editing of text     files online. Requires explicit activation by a setup     user.

  - Translate built-in help text into HTML for display on     web pages.

  - On the /timeline webpage, the combination of query     parameters 'p=CHECKIN' and 'bt=ANCESTOR' draws all     ancestors of CHECKIN going back to ANCESTOR.

  - Update the built-in SQLite so that the 'fossil sql'     command supports new output modes '.mode box' and '.mode     json'.

  - Add the 'obscure()' SQL function to the 'fossil sql'     command.

  - Added virtual tables 'helptext' and 'builtin' to the     'fossil sql' command, providing access to the dispatch     table including all help text, and the builtin data     files, respectively.

  - Delta compression is now applied to forum edits.

  - The wiki editor has been modernized and is now     Ajax-based.

  - Package the fossil.1 manual page.

  - fossil 2.11.1 :

  - Make the 'fossil git export' command more restrictive     about characters that it allows in the tag names

  - Add fossil-2.11-reproducible.patch to override build     date (boo#1047218)

Upgrade to fossil 2.12.1

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Fossil before 2.10.2, 2.11.x before 2.11.2, and 2.12.x before 2.12.1 allows remote authenticated users to     execute arbitrary code. An attacker must have check-in privileges on the repository. (CVE-2020-24614)

Note that Nessus relies on the presence of the package as reported by the vendor.

fossil用のこの更新プログラムでは、以下の問題が修正されています：

  - fossil 2.12.1：

  - CVE-2020-24614：チェックインまたは管理権限のあるリモートの認証済みユーザーが、任意のコードを実行できる可能性がありました[boo#1175760]

  -「fossil git export」コマンドのセキュリティ修正。今後の同様の問題を防ぐために新しい「safety-net」機能が追加されました。

  - 単一のチェックインへの多数の自由選択のマージがある場合のグラフ表示の強化。
    例

  - 新しい--workdirオプションと、リポジトリ名としてURLを受け入れる機能により、fossil openコマンドを強化し、リモートリポジトリが自動的に複製されるようにします。--keepオプションまたは新しい--forceオプションが使用されていない限り、空でない作業ディレクトリで「fossil open」を開きません。

  - markdownフォーマッターを強化して、テキストのハイライトに関してCommonMark仕様により厳密に従うようにします。識別子の中にあるアンダースコア（例：fossil_printf()）をエスケープする必要がなくなりました。

  - markdown-to-htmlトランスレーターは、安全でないHTML（例：<script>）をフォーラムやチケット、wikiのようなユーザー投稿ページで防ぐことができます。管理者は、Admin/Wikiページのsafe-html設定を使用して、この動作を調整できます。デフォルトでは、安全でないHTMLはいずれの場所でも許可されません。

  - 長いフォーラム投稿に対して「折りたたみ」および「展開」機能を追加しました。

  -「fossil remote」コマンドに、シンボリック名で複数の永続リモートを指定するオプションが追加されました。現在は、一度に使用できるリモートは1つのみですが、将来は変更される可能性があります。

  - ログインページに「Remember me?（保存しますか？）」チェックボックスを追加します。チェックされていない場合、ログインにセッションクッキーを使用します。

  - チェックインの前またはプッシュの後に実行される「フックスクリプト」を管理するための実験的な「fossil hook」コマンドを追加しました。

  - fossil revertコマンドを強化し、ディレクトリの下のすべてのファイルを元に戻すことができるようにします。

  - fossil bisect skipコマンドを追加します。

  - fossil backupコマンドを追加します。

  - 最も内側の「good」チェックインと「bad」チェックインの間の未チェックのすべてのチェックインが表示されるように、fossil bisect uiを強化します。

  - --resetフラグを「fossil add」、「fossil rm」、および「fossil addremove」コマンドに追加しました。

  -「--min N」フラグと「--logfile FILENAME」フラグをbackofficeコマンドに追加し、backofficeコマンドを自動backofficeの有効な代替にするための他の拡張機能も追加しました。backofficeの漸進的なその他の改善。

  - テキストファイルをオンラインで編集できる/fileeditページを追加しました。セットアップユーザーによる明示的なアクティベーションが必要です。

  - 作り込みのヘルプテキストをHTMLに翻訳し、Webページに表示します。

  - /timeline Webページで、クエリパラメーター「p=CHECKIN」と「bt=ANCESTOR」の組み合わせにより、CHECKINのすべての祖先がANCESTORに戻ります。

  -「fossil sql」コマンドが新しい出力モード「.mode box」および「.mode json」をサポートするように、作り込みのSQLiteを更新します。

  -「obscure()」SQL関数を「fossil sql」コマンドに追加します。

  - 仮想テーブル「helptext」および「builtin」を「fossil sql」コマンドに追加し、すべてのヘルプテキストを含むディスパッチテーブルと作り込みのデータファイルへのアクセスを提供しました。

  - デルタ圧縮がフォーラム編集に適用されるようになりました。

  - wikiエディターが最新化され、Ajaxベースになりました。

  - fossil.1マニュアルページをパッケージ化します。

  - fossil 2.11.1：

  -「fossil git export」コマンドでタグ名に使用できる文字に関する制限を強化します

  - fossil-2.11-reproducible.patchを追加して、ビルド日付をオーバーライドします（boo#1047218）

fossil 2.12.1にアップグレードしてください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.10.2より前の [] 、 2.11.x より前の 2.11.2、および 2.12.x より前の 2.12.1 のFossil により、認証されたリモートのユーザーが任意のコードを実行する可能性があります。攻撃者はリポジトリでチェックイン権限を持っている必要があります。CVE-2020-24614

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
142272	GLSA-202011-04 : Fossil: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2020/11/3	2024/2/12	high
259308	Linux Distros 未修补的漏洞：CVE-2020-24614	Nessus	Misc.	2025/8/30	2025/8/30	high
259308	Linux Distros 未修補的弱點：CVE-2020-24614	Nessus	Misc.	2025/8/30	2025/8/30	high
140690	openSUSE Security Update : fossil (openSUSE-2020-1478)	Nessus	SuSE Local Security Checks	2020/9/21	2024/2/20	high
143502	Fedora 33 : fossil (2020-ac6cf99f87)	Nessus	Fedora Local Security Checks	2020/12/7	2024/2/6	high
143515	Fedora 32 : fossil (2020-50be892d25)	Nessus	Fedora Local Security Checks	2020/12/7	2024/2/6	high
259308	Linux Distros Unpatched Vulnerability : CVE-2020-24614	Nessus	Misc.	2025/8/30	2025/8/30	high
140690	openSUSEセキュリティ更新プログラム：fossil（openSUSE-2020-1478）	Nessus	SuSE Local Security Checks	2020/9/21	2024/2/20	high
143502	Fedora 33：fossil（2020-ac6cf99f87）	Nessus	Fedora Local Security Checks	2020/12/7	2024/2/6	high
143515	Fedora 32：fossil（2020-50be892d25）	Nessus	Fedora Local Security Checks	2020/12/7	2024/2/6	high
259308	Linux Distros のパッチ未適用の脆弱性: CVE-2020-24614	Nessus	Misc.	2025/8/30	2025/8/30	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high