It was discovered that Awstats, a web server log analyzer, was vulnerable to path traversal attacks. A remote unauthenticated attacker could leverage that to perform arbitrary code execution. The previous fix did not fully address the issue when the default /etc/awstats/awstats.conf is not present.

For Debian 9 stretch, this problem has been fixed in version 7.6+dfsg-1+deb9u2.

We recommend that you upgrade your awstats packages.

For the detailed security status of awstats please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/awstats

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

WebサーバーログアナライザーであるAwstatsがパストラバーサル攻撃に脆弱であることが判明しました。認証されていないリモート攻撃者がそれを悪用し、任意のコードを実行する可能性があります。以前の修正では、デフォルトの/etc/awstats/awstats.confが存在しない場合の問題が完全に対処されていませんでした。

Debian 9 'Stretch'では、この問題はバージョン7.6+dfsg-1+deb9u2で修正されています。

お使いのawstatsパッケージをアップグレードすることを推奨します。

awstatsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/awstats

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Update to AWStats 7.8. Includes security fix for CVE-2020-29600 / CVE-2020-35176

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-4953-1 advisory.

  - Awstats version 7.6 and earlier is vulnerable to a path traversal flaw in the handling of the config and     migrate parameters resulting in unauthenticated remote code execution. (CVE-2017-1000501)

  - In AWStats through 7.7, cgi-bin/awstats.pl?config= accepts an absolute pathname, even though it was     intended to only read a file in the /etc/awstats/awstats.conf format. NOTE: this issue exists because of     an incomplete fix for CVE-2017-1000501. (CVE-2020-29600)

  - In AWStats through 7.8, cgi-bin/awstats.pl?config= accepts a partial absolute pathname (omitting the     initial /etc), even though it was intended to only read a file in the /etc/awstats/awstats.conf format.
    NOTE: this issue exists because of an incomplete fix for CVE-2017-1000501 and CVE-2020-29600.
    (CVE-2020-35176)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主机上安装的程序包受到 USN-4953-1 公告中提及的多个漏洞的影响。

  - Awstats 7.6 及更早版本在处理“config”和“migrate”参数时容易受到一个路径遍历缺陷的影响，从而导致未经身份验证的远程代码执行。(CVE-2017-1000501)

  - 在 AWStats 7.7 及之前的所有版本中，cgi-bin/awstats.pl?config= 会接受绝对路径名，即使其原定只读取 /etc/awstats/awstats.conf 格式的文件亦然。注意：此问题是因对 CVE-2017-1000501 的修复不完整所致。(CVE-2020-29600)

  - 在 AWStats 7.8 及之前的所有版本中，cgi-bin/awstats.pl?config= 会接受部分绝对路径名（忽略开头的 /etc），即使其原定只读取 /etc/awstats/awstats.conf 格式的文件亦然。
    注意：此问题是因对 CVE-2017-1000501 和 CVE-2020-29600 的修复不完整所致。
    (CVE-2020-35176)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10 主機上安裝的一個套件受到 USN-4953-1 公告中所提及的多個弱點影響。

  - Awstats 7.6 及之前版本容易受到處理「config」和「migrate」參數時引發的路徑遊走缺陷的攻擊，會造成未經授權在遠端執行程式碼。(CVE-2017-1000501)

  - 在 AWStats 7.7 及之前的所有版本中，cgi-bin/awstats.pl?config= 會接受絕對路徑名稱，即使其原本只打算讀取 /etc/awstats/awstats.conf 格式的檔案亦然。注意：此問題之所以存在，是因為 CVE-2017-1000501 的修正不完整。(CVE-2020-29600)

  - 在 AWStats 7.8 及之前的所有版本中，cgi-bin/awstats.pl?config= 會接受部分絕對路徑名稱 (忽略 initial /etc)，即使其原本只打算讀取 /etc/awstats/awstats.conf 格式的檔案亦然。
    注意：此問題之所以存在，是因為 CVE-2017-1000501 和 CVE-2020-29600 的修正不完整。
    (CVE-2020-35176)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

据发现，Web 服务器日志分析器 Awstats 容易受到路径遍历攻击。未经身份验证的远程攻击者可利用此问题执行任意代码。当默认的 /etc/awstats/awstats.conf 不存在时，上一个修复程序并未完全解决该问题。

针对 Debian 9 stretch，此问题已在 7.6+dfsg-1+deb9u2 版本中修复。

建议您升级 awstats 程序包。

如需了解 awstats 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/awstats

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

發現 awstats (一個 Web 伺服器記錄檔分析器) 容易受到路徑遍歷攻擊。未經驗證的遠端攻擊者可利用此弱點，藉此執行任意程式碼。當預設的 /etc/awstats/awstats.conf 不存在時，先前的修正未完全解決此問題。

針對 Debian 9 Stretch，已在 7.6+dfsg-1+deb9u2 版本中修正此問題。

建議您升級 awstats 套件。

如需有關 awstats 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/awstats

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

AWStats 7.8に更新してください。CVE-2020-29600/CVE-2020-35176のセキュリティ修正が含まれます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4953-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン7.6以前のAwstatsは、configおよびmigrateパラメーターの処理におけるパストラバーサルの欠陥に対して脆弱であり、認証されていないリモートコード実行が引き起こされる可能性があります。(CVE-2017-1000501) 

  - 7.7までのAWStatsにおいて、cgi-bin/awstats.pl?config=は、/etc/awstats/awstats.conf形式のファイルの読み取りのみを意図していても、絶対パス名を受け入れます。注：この問題はCVE-2017-1000501の修正が不完全なために存在します。(CVE-2020-29600) 

  - 7.8までのAWStatsにおいて、cgi-bin/awstats.pl?config=は、/etc/awstats/awstats.conf形式のファイルの読み取りのみを意図していても、部分的な絶対パス名 (最初の/etcを省略) を受け入れます。
    注：この問題はCVE-2017-1000501およびCVE-2020-29600に対する修正が不完全であるために存在します。
    (CVE-2020-35176)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
144587	Debian DLA-2506-1 : awstats security update	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	critical
144587	Debian DLA-2506-1 : awstatsのセキュリティ更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	critical
144822	Fedora 32 : awstats (2020-d1aa0e030c)	Nessus	Fedora Local Security Checks	2021/1/11	2024/1/30	critical
149478	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS : AWStats vulnerabilities (USN-4953-1)	Nessus	Ubuntu Local Security Checks	2021/5/14	2023/10/20	critical
149478	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS：AWStats 漏洞 (USN-4953-1)	Nessus	Ubuntu Local Security Checks	2021/5/14	2023/10/20	critical
149478	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS：AWStats 弱點 (USN-4953-1)	Nessus	Ubuntu Local Security Checks	2021/5/14	2023/10/20	critical
144587	Debian DLA-2506-1：awstats 安全更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	critical
144587	Debian DLA-2506-1：awstats 安全性更新	Nessus	Debian Local Security Checks	2020/12/24	2024/1/31	critical
144822	Fedora 32：awstats（2020-d1aa0e030c）	Nessus	Fedora Local Security Checks	2021/1/11	2024/1/30	critical
149478	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS : AWStatsの脆弱性 (USN-4953-1)	Nessus	Ubuntu Local Security Checks	2021/5/14	2023/10/20	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical