リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:1690-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - cbeust testng 7.5.0/7.6.0/7.6.1/7.7.0 に脆弱性が見つかりました。重大度最高に分類されています。
    この脆弱性の影響を受けるのは、コンポーネント XML File Parser のファイル testng-core/src/main/java/org/testng/JarFileUtils.java の関数 testngXmlExistsInJar です。操作により、パストラバーサルが発生します。攻撃がリモートで起動される可能性があります。バージョン 7.5.1 および 7.7.1 にアップグレードすると、この問題に対処できます。パッチの名前は 9150736cd2c123a6a3b60e6193630859f9f0422b です。影響を受けるコンポーネントをアップグレードすることが推奨されます。この脆弱性の関連識別子は VDB-214027 です。
    (CVE-2022-4065)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2023:1690-1 advisory.

  - A vulnerability was found in cbeust testng 7.5.0/7.6.0/7.6.1/7.7.0. It has been declared as critical.
    Affected by this vulnerability is the function testngXmlExistsInJar of the file testng-     core/src/main/java/org/testng/JarFileUtils.java of the component XML File Parser. The manipulation leads     to path traversal. The attack can be launched remotely. Upgrading to version 7.5.1 and 7.7.1 is able to     address this issue. The name of the patch is 9150736cd2c123a6a3b60e6193630859f9f0422b. It is recommended     to upgrade the affected component. The associated identifier of this vulnerability is VDB-214027.
    (CVE-2022-4065)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 cbeust testng 7.5.0/7.6.0/7.6.1/7.7.0中發現一個弱點。目前已將其歸類為「嚴重」。
    受到此弱點影響的是元件 XML File Parser 的 testng-core/src/main/java/org/testng/JarFileUtils.java 檔案中的 testngXmlExistsInJar 函式。操控會導致路徑遊走。攻擊者可在遠端執行此攻擊。升級至 7.5.1 和 7.7.1 版即可解決此問題。修補程式名為 9150736cd2c123a6a3b60e6193630859f9f0422b。建議升級受影響的元件。此弱點的相關識別碼為 VDB-214027。
    (CVE-2022-4065)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 cbeust testng 中发现一个漏洞 7.5.0/7.6.0/7.6.1/7.7.0。已将此漏洞声明为“危急”。
    受此漏洞影响的是 XML 文件解析器组件中文件 testng-core/src/main/java/org/testng/JarFileUtils.java 的函数 testngXmlExistsInJar。操纵会导致路径遍历。攻击者可远程执行攻击。升级到版本 7.5.1 和 7.7.1 可解决此问题。该修补程序名为 9150736cd2c123a6a3b60e6193630859f9f0422b。建议升级受影响的组件。此漏洞的相关标识符为 VDB-214027。
    (CVE-2022-4065)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2024:2568-1 advisory.

    mockito was updated to version 5.11.0:

    - Added bundle manifest to the mockito-core artifact
    - Mockito 5 is making core changes to ensure compatibility with future JDK versions.
    - Switch the Default MockMaker to mockito-inline (not applicable to mockito-android)

      * Mockito 2.7.6 introduced the mockito-inline mockmaker based on the 'inline bytecode' principle,     offering         compatibility advantages over the subclass mockmaker
      * This change avoids JDK restrictions, such as violating module boundaries and leaking subclass creation

    - Legitimate use cases for the subclass mockmaker:

      * Scenarios where the inline mockmaker does not function, such as on Graal VM's native image
      * If avoiding mocking final classes, the subclass mockmaker remains a viable option, although issues may     arise on         JDK 17+
      * Mockito aims to support both mockmakers, allowing users to choose based on their requirements.

    - Update the Minimum Supported Java Version to 11

      * Mockito 5 raised the minimum supported Java version to 11
      * Community member @reta contributed to this change.
      * Users still on JDK 8 can continue using Mockito 4, with minimal API differences between versions

    - New type() Method on ArgumentMatcher

      * The ArgumentMatcher interface now includes a new type() method to support varargs methods, addressing     previous         limitations
      * Users can now differentiate between matching calls with any exact number of arguments or match any     number of         arguments
      * Mockito 5 provides a default implementation of the new method, ensuring backward compatibility.
      * No obligation for users to implement the new method; Mockito 5 considers Void.type by default for     varargs handling
      * ArgumentCaptor is now fully type-aware, enabling capturing specific subclasses on a generic method.

    - byte-buddy does not bundle asm, but uses objectweb-asm as external library

    snake-yaml was updated to version 2.2:

    - Changes of version 2.2:

      * Define default scalar style as PLAIN (for polyglot Maven)
      * Add missing 'exports org.yaml.snakeyaml.inspector' to module-info.java

    - Changes of version 2.1:

      * Heavy Allocation in Emitter.analyzeScalar(String) due to Regex Overhead
      * Use identity in toString() for sequences to avoid OutOfMemoryError
      * NumberFormatException from SnakeYAML due to int overflow for corrupt YAML version
      * Document size limit should be applied to single document notthe whole input stream
      * Detect invalid Unicode code point (thanks to Tatu Saloranta)
      * Remove Trusted*Inspector classes from main sources tree

    - Changes of version 2.0:

      * Rollback to Java 7 target
      * Add module-info.java
      * Migrate to Java 8
      * Remove many deprecated constructors
      * Remove long deprecated methods in FlowStyle
      * Do not allow global tags by default
      * Yaml.LoadAs() signature to support Class<? super T> type instead of Class<T>
      * CustomClassLoaderConstructor takes LoaderOptions
      * Check input parameters for non-null values

    testng was updated to version 7.10.1:

    - Security issues fixed:

      * CVE-2022-4065: Fixed Zip Slip Vulnerability (bsc#1205628)

    - Changes of version 7.10.1:

      * Fixed maven build with junit5

    - Changes of version 7.10.0:

      * Minor discrepancy fixes
      * Deleting TestNG eclipse plugin specific classes
      * Remove deprecated JUnit related support in TestNG
      * Handle exceptions in emailable Reporter
      * Added wrapperbot and update workflow order
      * Support ITestNGFactory customisation
      * Streamlined data provider listener invocation
      * Streamlined Guice Module creation in concurrency.
      * Copy test result attributes when unexpected failures
      * chore: use explicit dependency versions instead of refreshVersions
      * Removed Ant
      * Support ordering of listeners
      * Added errorprone
      * Allow custom thread pool executors to be wired in.
      * Allow data providers to be non cacheable
      * Use Locks instead of synchronised keyword
      * Document pgp artifact signing keys
      * Added Unique Id for all test class instances
      * Added issue management workflows
      * Map object to configurations
      * Allow listeners to be disabled at runtime
      * Streamlined Data Provider execution
      * Honour inheritance when parsing listener factories
      * Tweaks around accessing SuiteResult
      * Streamlined random generation
      * Streamlined dependencies for configurations

    - Changes of version 7.9.0:

      * Fixed maps containing nulls can be incorrectly considered equal
      * Test Results as artifacts for failed runs
      * Fixed data races
      * Dont honour params specified in suite-file tag
      * Decouple SuiteRunner and TestRunner
      * Disable Native DI for BeforeSuite methods
      * Streamlined running Parallel Dataproviders+retries
      * Removed extra whitespace in log for Configuration.createMethods()
      * Added the link for TestNG Documentation's GitHub Repo in README.md
      * FirstTimeOnlyConfig methods + Listener invocations
      * Added overrideGroupsFromCliInParentChildXml test
      * Ensure thread safety for attribute access
      * Added @inherited to the Listeners annotation
      * Restrict Group inheritance to Before|AfterGroups
      * Ensure ITestResult injected to @AfterMethod is apt
      * Support suite level thread pools for data provider
      * Favour CompletableFuture instead of PoolService
      * Favour FutureTask for concurrency support
      * Shared Threadpool for normal/datadriven tests.
      * Abort for invalid combinations

    - Changes of version 7.8.0:

      * [Feature] Not exception but warning if some (not all) of the given test names are not found in suite     files.
      * [Feature] Generate testng-results.xml per test suite
      * [Feature] Allow test classes to define 'configfailurepolicy' at a per class level
      * XmlTest index is not set for test suites invoked with YAML
      * Listener's onAfterClass is called before @afterclass configuration methods are executed.
      * After upgrading to TestNG 7.5.0, setting ITestResult.status to FAILURE doesn't fail the test anymore
      * JUnitReportReporter should capture the test case output at the test case level
      * TestNG.xml doesn't honour Parallel value of a clone
      * before configuration and before invocation should be 'SKIP' when beforeMethod is 'skip'
      * Test listeners specified in parent testng.xml file are not included in testng-failed.xml file
      * Discrepancies with DataProvider and Retry of failed tests
      * Skipped Tests with DataProvider appear as failed
      * testng-results xml reports config skips from base classes as ignored
      * Feature: Check that specific object present in List
      * Upgraded snakeyaml to 2.0

    - Changes of version 7.7.1:

      * Streamline overloaded assertion methods for Groovy

    - Changes of version 7.7.0:

      * Replace FindBugs by SpotBugs
      * Gradle: Drop forUseAtConfigurationTime()
      * Added ability to provide custom message to assertThrows\expectThrows methods
      * Only resolve hostname once
      * Prevent overlogging of debug msgs in Graph impl
      * Streamlined dataprovider invoking in abstract classes
      * Streamlined TestResult due to expectedExceptions
      * Unexpected test runs count with retry analyzer
      * Make PackageUtils compliant with JPMS
      * Ability to retry a data provider during failures
      * Fixing bug with DataProvider retry
      * Added config key for callback discrepancy behavior
      * Fixed FileAlreadyExistsException error on copy
      * JarFileUtils.delete(File f) throw actual exception (instead of FileNotFound) when file cannot be     deleted #2825
      * Changing assertion message of the osgitest
      * Enhancing the Matrix
      * Avoid Compilation errors on Semeru JDK flavour.
      * Add addition yml extension
      * Support getting dependencies info for a test
      * Honour regex in dependsOnMethods
      * Ensure All tests run all the time
      * Deprecate support for running Spock Tests
      * Streamline dependsOnMethods for configurations
      * Ensure ITestContext available for JUnit4 tests
      * Deprecate support for running JUnit tests
      * Changes of 7.6.1
      * Fix Files.copy() such that parent dirs are created
      * Remove deprecated utility methods

    - Changes of version 7.6.0:

      * Remove redundant Parameter implementation
      * Upgraded to JDK11
      * Move SimpleBaseTest to be Kotlin based
      * Restore testnames when using suites in suite.
      * Moving ClassHelperTests into Kotlin
      * IHookable and IConfigurable callback discrepancy
      * Minor refactoring
      * Add additional condition for assertEqualsNoOrder
      * beforeConfiguration() listener method should be invoked for skipped configurations as well
      * Keep the initial order of listeners
      * SuiteRunner could not be initial by default Configuration
      * Enable Dataprovider failures to be considered.
      * BeforeGroups should run before any matched test
      * Fixed possible StringIndexOutOfBoundsException exception in XmlReporter
      * DataProvider: possibility to unload dataprovider class, when done with it
      * Fixed possibilty that AfterGroups method is invoked before all tests
      * Fixed equals implementation for WrappedTestNGMethod
      * Wire-In listeners consistently
      * Streamline AfterClass invocation
      * Show FQMN for tests in console
      * Honour custom attribute values in TestNG default reports

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A vulnerability was found in cbeust testng 7.5.0/7.6.0/7.6.1/7.7.0. It has been declared as critical.
    Affected by this vulnerability is the function testngXmlExistsInJar of the file testng-     core/src/main/java/org/testng/JarFileUtils.java of the component XML File Parser. The manipulation leads     to path traversal. The attack can be launched remotely. Upgrading to version 7.5.1 and 7.7.1 is able to     address this issue. The patch is named 9150736cd2c123a6a3b60e6193630859f9f0422b. It is recommended to     upgrade the affected component. The associated identifier of this vulnerability is VDB-214027.
    (CVE-2022-4065)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2568-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    patches はバージョン 5.11.0 に更新されました:

    - バンドルマニフェストを mockito-core アーティファクトに追加しました
    - Mockito 5 は、将来の JDK バージョンとの互換性を確保するため、コアを変更しています。
    - Default MockMaker を mockito-inline に切り替えます (mockito-android には適用できません)

      * Mockito 2.7.6 は、「inline bytecode」原則に基づいて mockito-inline mokerker を導入し、サブクラス Mockmaker よりも優れた互換性を提供
      * この変更により、モジュール境界の違反やサブクラス作成の漏洩などの JDK 制限が回避されます

    - サブクラス mocketmaker の正当なユースケース

      * Graal VM のネイティブイメージなど、インライン mockmaker が機能しないシナリオ
      * JDK 17+ で問題が発生する可能性がありますが、最終クラスのモッキングを回避する場合、サブクラス mockmaker も実行可能なオプションです
      * Mockito は、ユーザーがその要件に基づいて選択できるように、両方の mockmaker をサポートすることを目的としています。

    - サポートされる Java の最小バージョンを 11 に更新

      * Mockito 5 はサポートされる Java の最小バージョンを 11 に引き上げました
      * コミュニティメンバーの @reta がこの変更に貢献しました。
      * まだ JDK 8 を使用しているユーザーは、バージョン間の API の違いを最小限に抑えながら、Mockito 4 を引き続き使用できます

    - ArgumentMatcher の新しい type() メソッド

      * ArgumentMatcher インターフェースには、以前の制限に対処しながら varargs メソッドをサポートするための新しい type() メソッドが含まれるようになりました
      * ユーザーは、任意の数の引数を持つ該当する呼び出しを引数の正確な数と区別したり、任意の数の引数を一致させたりできるようになりました
      * Mockito 5 は、下位互換性を確保するために、新しいメソッドのデフォルト実装を提供。
      * ユーザーは新しいメソッドを実装する義務はありません。Mockito 5 では、varargs の処理にデフォルトで Void.type が考慮されます
      * ArgumentCaptor が完全に型を認識するようになり、ジェネリックメソッドの特定のサブクラスでキャプチャが可能になりました。

    - byte-buddy は asm をバンドルしませんが、objectweb-asm を外部ライブラリとして使用

    snake-yaml がバージョン 2.2 に更新されました:

    - バージョン 2.2 の変更:

      * デフォルトのスカラースタイルを PLAIN として定義 (polyglot Maven 用)
      * module-info.java に欠落している「exports org.yaml.snakeyaml.inspector」を追加

    - バージョン 2.1 の変更:

      * Regex Overhead による Emutter.analyzeScalar(String) での大量の割り当て
      * OutOfMemoryError を回避するためにシーケンスの toString() で ID を使用
      * 破損した YAML バージョンの int オーバーフローによる SnakeYAML からの NumberFormatException
      * ドキュメントサイズの制限は、入力ストリーム全体ではなく、単一のドキュメントに適用する必要があります
      * 無効な Unicode コードポイントを検出 (Tatu Saloramba 氏による)
      * Trusted*Inspector クラスをメインソースツリーから削除

    - バージョン 2.0 の変更:

      * Java 7 ターゲットへのロールバック
      * module-info.java を追加
      * Java 8 に移行
      * 多くの非推奨のコンストラクターを削除
      * FlowStyle で長く廃止されたメソッドを削除
      * デフォルトでグローバルタグを許可しません
      * Class<T> ではなく、Class<? super T> タイプをサポートするための Yaml.LoadAs() 署名
      * CustomClassLoaderConstructor は LoaderOptions を受け取ります
      * null 以外の値の入力パラメーターをチェック

    testng がバージョン 7.10.1 に更新されました:

    - 修正されたセキュリティ問題:

      * CVE-2022-4065: Zip Slip の脆弱性を修正しました (bsc#1205628)

    - バージョン 7.10.1 の変更:

      * junit5 で maven ビルドを修正しました

    - バージョン 7.10.0 の変更:

      * マイナーな不一致の修正
      * TestNG eclipse プラグイン固有クラスの削除
      * TestNG で廃止された JUnit 関連のサポートを削除
      * 電子メールで送信可能な Reporter の例外を処理
      *wrapperbot を追加し、ワークフローの順序を更新
      * ITestNGFactory カスタマイズをサポート
      * データプロバイダーのリスナー呼び出しを合理化しました
      * 並行性の Guice モジュール作成を合理化しました。
      * 予期しないエラーが発生したときにテスト結果の属性をコピー
      * chore: refreshVersions の代わりに明示的な依存関係バージョンを使用
      * Ant を削除しました
      * リスナーの順序付けをサポート
      * errorprone を追加しました
      * カスタムスレッドプール executor を接続できるようにする。
      * データプロバイダーをキャッシュ不可にできるようにする
      * Synchronized キーワードの代わりに Locks を使用
      * pgp アーティファクト署名キーを文書化
      * すべてのテストクラスインスタンスに Unique Id を追加しました
      * 問題管理ワークフローを追加しました
      * 設定へのオブジェクトのマッピング
      * リスナーをランタイムで無効にできるようにする
      * データプロバイダーの実行を合理化しました
      * リスナーファクトリの解析時に継承を反映
      * SuiteResult へのアクセス関連を調整
      * ランダム生成を合理化しました
      * 設定の依存関係を合理化しました

    - バージョン 7.9.0 の変更:

      * null を含むマップが誤って等しいと見なされる可能性がある問題を修正しました
      * 失敗した実行のアーティファクトとしてのテスト結果
      * データ競合を修正しました
      * suite-file タグで指定されたパラメーターを反映しません
      * SuiteRunner と TestRunner を分離
      * BeforeSuite メソッドのネイティブ DI を無効にする
      * Parallel Dataproviders+retries の実行を合理化しました
      * Configuration.createMethods() のログから余分な空白を削除しました
      * TestNG Documentation の GitHub Repo へのリンクを README.md に追加しました
      * FirstTimeOnlyConfig メソッド + Listener 呼び出し
      * overrideGroupsFromCliInParentChildXml テストを追加しました
      * 属性アクセスに対してスレッドの安全性を確保
      * Listeners 注釈に @inherited を追加しました
      * グループの継承を Before|AfterGroups に制限
      * @AfterMethod に注入された ITestResult が適切であることを確認
      * データプロバイダーのスイートレベルのスレッドプールをサポート
      * PoolService ではなく CompletableFuture を優先
      * 同時サポートのために FutureTask を優先
      * 通常/データ駆動型テストのスレッドプールを共有しました。
      * 無効な組み合わせによる中止

    - バージョン 7.8.0 の変更:

      * [機能] スイートファイルで、特定のテスト名のすべてではなく一部が見つからない場合、例外ではなく警告です。
      * [機能] テストパッケージごとに testng-results.xml を生成
      * [機能] テストクラスがクラスレベルで「configfailurepolicy」を定義できるようにする
      * YAML で呼び出されたテストパッケージに XmlTest インデックスが設定されていません
      * @afterclass 設定メソッドが実行される前に、リスナーの onAfterClass が呼び出されます。
      * TestNG 7.5.0 へのアップグレード後、ITestResult.status を FAILURE に設定してもテストは失敗しなくなります
      * JUnitReportReporter は、テストケースレベルでテストケース出力をキャプチャする必要があります
      * TestNG.xml はクローンの Parallel 値を反映しません
      * beforeMethod が「skip」の場合、設定前および呼び出し前は「SKIP」になる必要があります
      *親の testng.xml ファイルで指定されたテストリスナーが、testng-failed.xml ファイルに含まれていません
      * DataProvider と失敗したテストの Retry の不一致
      * DataProvider でスキップされたテストが失敗と表示されます
      * testng-results xml で、基本クラスからの設定のスキップが無視されたと報告されます
      * Feature: リストに存在する特定のオブジェクトをチェック
      * spoolyaml を 2.0 にアップグレードしました 

    - バージョン 7.7.1 の変更:

      * Groovy 用のオーバーロードされたアサーションメソッドを合理化

    - バージョン 7.7.0 の変更:

      * FindBugs を SpotBugs で置換
      * Gradle: forUseAtConfigurationTime() をドロップ
      * assertThrows\expectThrows メソッドにカスタムメッセージを提供する機能を追加しました
      * ホスト名は 1 回のみ解決
      * グラフ実装でのデバッグメッセージのオーバーログを防ぎます
      * 抽象クラスでの dataprovider の呼び出しを合理化しました
      * expectedExceptions により TestResult を合理化しました
      * 再試行アナライザーで予期しないテスト実行がカウントされます
      * PackageUtils を JPMS に準拠させます
      * エラー時にデータプロバイダーを再試行する機能
      * DataProvider 再試行のバグを修正
      * コールバックの不一致の動作に設定キーを追加しました
      * コピーでの FileAlreadyExistsException エラーを修正しました
      * JarFileUtils.delete(File f) は、ファイルを削除できないときに、FileNotFound ではなく実際の例外をスロー #2825
      * osgitest のアサーションメッセージの変更
      * マトリクスの強化
      * Semeru JDK フレーバーでコンパイルエラーを回避。
      * yml 拡張を追加
      * テストの依存関係情報の取得をサポート
      * dependsOnMethods の正規表現を遵守
      * すべてのテストが常に実行されるようにする
      * Spock Tests を実行するためのサポートを廃止
      * 設定の dependsOnMethods を合理化
      * ITestContext を JUnit4 テストで使用できるようにする
      * JUnit テストを実行するためのサポートを廃止
      * 7.6.1 の変更 
      * 親ディレクトリが作成されるように Files.copy() を修正
      * 廃止されたユーティリティメソッドを削除

    - バージョン 7.6.0 の変更:

      * 冗長な Parameter 実装を削除
      * JDK11 にアップグレードしました
      * SimpleBaseTest を Kotlin ベースになるよう移動
      * スイート内で複数のスイートを使用する際に、テスト名を復元。
      * ClassHelperTests の Kotlin への移動
      * IHookable と IConfigurable のコールバックの不一致
      * マイナーなリファクタリング
      * assertEqualsNoOrder の追加条件を追加
      * スキップされた設定に対しても、beforeConfiguration() リスナーメソッドを呼び出す必要があります
      * リスナーの初期順序を維持
      * SuiteRunner は、デフォルト設定では初期化できない可能性があります
      * Dataprovider の障害を考慮できるようにする。
      * BeforeGroups は一致するテストの前に実行する必要があります
      * XmlReporter の StringIndexOutOfBoundsException 例外を修正しました
      * DataProvider: 終了時に dataprovider クラスをアンロードする可能性
      * すべてのテストの前に AfterGroups メソッドが呼び出される可能性を修正しました
      * WrappedTestNGMethod の equals 実装を修正しました
      * リスナーの一貫したワイヤーイン
      * AfterClass 呼び出しを合理化
      * テストの FQMN をコンソールで表示
      * TestNG デフォルトレポートのカスタム属性値を遵守

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - cbeust testng 7.5.0/7.6.0/7.6.1/7.7.0 に脆弱性が見つかりました。重大度最高に分類されています。
    この脆弱性の影響を受けるのは、コンポーネント XML File Parser のファイル testng-core/src/main/java/org/testng/JarFileUtils.java の関数 testngXmlExistsInJar です。操作により、パストラバーサルが発生します。攻撃がリモートで起動される可能性があります。バージョン 7.5.1 および 7.7.1 にアップグレードすると、この問題に対処できます。パッチ名は、9150736cd2c123a6a3b60e6193630859f9f0422b です。影響を受けるコンポーネントをアップグレードすることが推奨されます。この脆弱性の関連識別子は VDB-214027 です。
    (CVE-2022-4065)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
173735	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: testng (SUSE-SU-2023:1690-1)	Nessus	SuSE Local Security Checks	2023/3/31	2023/7/14	high
173735	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : testng (SUSE-SU-2023:1690-1)	Nessus	SuSE Local Security Checks	2023/3/31	2023/7/14	high
251091	Linux Distros 未修補的弱點：CVE-2022-4065	Nessus	Misc.	2025/8/18	2025/8/18	high
251091	Linux Distros 未修补的漏洞：CVE-2022-4065	Nessus	Misc.	2025/8/18	2025/8/18	high
203007	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : mockito, snakeyaml, testng (SUSE-SU-2024:2568-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/7/26	high
251091	Linux Distros Unpatched Vulnerability : CVE-2022-4065	Nessus	Misc.	2025/8/18	2025/8/18	high
203007	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: mockito、snokeyaml、testng (SUSE-SU-2024:2568-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/7/26	high
251091	Linux Distros のパッチ未適用の脆弱性: CVE-2022-4065	Nessus	Misc.	2025/8/18	2025/8/18	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high