遠端 Debian 10 主機上安裝的一個套件受到 dla-3360 公告中提及的多個弱點影響。

  - 在使用 Internet Explorer 時，Sidekiq 5.1.3 及更早版本和 Sidekiq 6.x 至 6.2.0 版本允許透過即時輪詢功能的佇列名稱執行 XSS。(CVE-2021-30151)

  - 在早於 5.2.10 和 6.4.0 版的 Sidekiq api.rb 中，要求圖形的統計資料時不設天數限制。這會使系統過載，進而影響 Web UI，並導致使用者無法使用 UI。
    (CVE-2022-23837)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 9 主機上安裝的一個套件受到 dla-2943 公告中提及的多個弱點影響。

  - 在使用 Internet Explorer 時，Sidekiq 5.1.3 及更早版本和 Sidekiq 6.x 至 6.2.0 版本允許透過即時輪詢功能的佇列名稱執行 XSS。(CVE-2021-30151)

  - 在早於 5.2.10 和 6.4.0 版的 Sidekiq api.rb 中，要求圖形的統計資料時不設天數限制。這會使系統過載，進而影響 Web UI，並導致使用者無法使用 UI。
    (CVE-2022-23837)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的套件受到 RHSA-2022:5498 公告中提及的多個弱點影響。

  - libsolv：src/testcase.c 的 testcase_read() 中的堆積型緩衝區溢位 (CVE-2021-3200)

  - foreman：透過 Sendmail 組態驗證遠端程式碼執行 (CVE-2021-3584)

  - Satellite：允許非預期 SCA 憑證驗證 Candlepin (CVE-2021-4142)

  - netty：透過本機系統暫存目錄造成資訊洩漏 (CVE-2021-21290)

  - netty：HTTP/2 中可能存在要求走私問題，這是由於遺漏驗證所致 (CVE-2021-21295)

  - netty：透過內容長度標頭造成要求走私 (CVE-2021-21409)

  - Sidekiq：透過即時輪詢功能的佇列名稱發生 XSS (CVE-2021-30151)

  - python-sqlparse：透過 stripComments 篩選器中的規則運算式發生 ReDoS (CVE-2021-32839)

  - libsolv：src/repo.h 中的 pool_installable() 發生堆積型緩衝區溢位 (CVE-2021-33928)

  - libsolv：src/repo.h 中的 pool_disabled_solvable() 發生堆積型緩衝區溢位 (CVE-2021-33929)

  - libsolv：src/repo.h 中的 pool_installable_whatprovides() 發生堆積型緩衝區溢位 (CVE-2021-33930)

  - libsolv：src/policy.c 中的 prune_to_recommended() 發生堆積型緩衝區溢位 (CVE-2021-33938)

  - rubygem-puma：puma 中 HTTP 要求的解譯不一致 (「HTTP 要求走私」) (CVE-2021-41136)

  - logback：透過 JNDI 呼叫從其設定檔內執行遠端程式碼 (CVE-2021-42550)

  - netty：標頭名稱中的控制字元可能導致 HTTP 要求走私 (CVE-2021-43797)

  - python-lxml：HTML Cleaner 允許特製和 SVG 內嵌指令碼通過 (CVE-2021-43818)

  - django：可能會根據 URL 路徑繞過上游存取控制 (CVE-2021-44420)

  - libsolv：resolve_dependencies 函式中的堆積溢位 (CVE-2021-44568)

  - django：UserAttributeSimilarityValidator 中可能發生拒絕服務 (CVE-2021-45115)

  - django：dictsort 範本篩選器中的潛在資訊洩漏 (CVE-2021-45116)

  - django：透過 Storage.save() 造成潛在目錄遊走 (CVE-2021-45452)

  - django：可能透過「{% debug %}」範本標籤引致 XSS (CVE-2022-22818)

  - rubygem-actionpack：要求之間的資訊洩漏 (CVE-2022-23633)

  - rubygem-puma: rubygem-rails：要求之間的資訊洩漏 (CVE-2022-23634)

  - django：檔案上傳中可能發生拒絕服務 (CVE-2022-23833)

  -sidekiq：圖形上的天數造成 WebUI 拒絕服務 (CVE-2022-23837)

  - Django：QuerySet.annotate()、aggregate() 和 extra() 中的 SQL 插入弱點 (CVE-2022-28346)

  - Django：透過 PostgreSQL 上的 QuerySet.explain(options) 的 SQL 插入弱點 (CVE-2022-28347)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
172486	Debian DLA-3360-1：ruby-sidekiq - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/3/12	2023/8/30	medium
158819	Debian DLA-2943-1：ruby-sidekiq - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/3/11	2023/11/6	medium
194275	RHEL 7 / 8：Satellite 6.11 版本 (中等) (RHSA-2022:5498)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/3	critical

偵測

搜尋 Plugin

medium

medium

critical