The remote NewStart CGSL host, running version CORE 5.05 / MAIN 5.05, has kdelibs packages installed that are affected by a vulnerability:

  - In KDE Frameworks KConfig before 5.61.0, malicious     desktop files and configuration files lead to code     execution with minimal user interaction. This relates to     libKF5ConfigCore.so, and the mishandling of .desktop and     .directory files, as demonstrated by a shell command on     an Icon line in a .desktop file. (CVE-2019-14744)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2019:2606 advisory.

  - kdelibs: malicious desktop files and configuration files lead to code execution with minimal user     interaction (CVE-2019-14744)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The KDE Community has released a security announcement :

The syntax Key[$e]=$(shell command) in *.desktop files, .directory files, and configuration files (typically found in ~/.config) was an intentional feature of KConfig, to allow flexible configuration. This could however be abused by malicious people to make the users install such files and get code executed even without intentional action by the user.

Dominik Penner discovered a flaw in how KConfig interpreted shell commands in desktop files and other configuration files. An attacker may trick users into installing specially crafted files which could then be used to execute arbitrary code, e.g. a file manager trying to find out the icon for a file or any application using KConfig. Thus the entire feature of supporting shell commands in KConfig entries has been removed.

For Debian 8 'Jessie', this problem has been fixed in version 4:4.14.2-5+deb8u3.

We recommend that you upgrade your kde4libs packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2019-14744のセキュリティ問題を修正するには、Upstream修正をバックポートします。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

kconfig、kdelibs4用のこの更新プログラムでは、以下の問題が修正されています：

  - CVE-2019-14744：シェル拡張によるコマンド実行を修正しました（boo#1144600）。

この更新により、レガシーKDE 3アプリケーションによって使用されるkdelibsのKDE 3互換性バージョン4の**CVE-2019-14744（kconfigの任意のシェルコード実行）**を修正します。

この「kdelibs3」ビルドの修正の完全なリスト：

  - 修正**CVE-2019-14744** -「kconfig」：悪意のある「.desktop」ファイル（およびその他）がコードを実行する可能性があります。
    KConfigには、構成ファイルが任意のシェルコマンドを実行できるようにする意味のある機能がありました。
    残念ながら、これが信頼性の低い「.desktop」ファイルに悪用され、ユーザーが「.desktop」ファイルを実行しなくても、ターゲットユーザーとして任意のコードを実行する可能性があります。
    したがって、この更新プログラムにより、その不運な機能が削除されます。
    （上流のKevin Kofler氏によりバックポート：David Faure氏による「kf5-kconfig」の修正、Kai Uwe Broulik氏による「kdelibs」4バックポート。）

  - 構成ファイルから「xdg-user-dir」にシェルアウトすることなく、*Desktop*および*Documents*用の**xdg-user-dirs**のネイティブサポートを追加します。これは、上記のセキュリティ修正のために必要です。（以前、この機能は削除されたKConfig機能を使用して構成ファイルから「xdg-user-dir」にシェルアウトすることで、Fedoraの「kde-settings」に実装されていました。）（Trinity Desktop/Timothy PearsonのKevin Kofler氏によりバックポートされました。）

  - JavaScriptを実行しようとする際にQuanta PlusなどのレガシーKDE 3アプリケーションをクラッシュさせる可能性がある**KJS二重解放**を修正します。（OpenSUSE/Trinity DesktopのWolfgang Bauer氏/Timothy Pearson氏によりバックポートされています。）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

出典：Red Hatセキュリティアドバイザリ2019:2606：kdelibsおよびkde-settingの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。KDE（K Desktop Environment）は、X Window System向けのグラフィカルデスクトップ環境です。kdelibsパッケージには、K Desktop Environment用のコアライブラリが含まれています。セキュリティ修正プログラム：* kdelibs：悪意のあるデスクトップファイルと構成ファイルにより、最小限のユーザー操作でコードが実行される可能性があります（CVE-2019-14744）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* kde.cshプロファイルファイルにはbourne-shellコードが含まれています（BZ#1740042）

- kdelibs: 悪意のあるデスクトップファイルと設定ファイルで、
 最小限のユーザー対話でコードが実行される可能性（CVE-2019-14744）
 
 バグ修正プログラム:
 

  - kde.cshプロファイルファイルにはbourne-shellコードが含まれています
    --

ID	名稱	產品	系列	已發布	已更新	嚴重性
132466	NewStart CGSL CORE 5.05 / MAIN 5.05 : kdelibs Vulnerability (NS-SA-2019-0254)	Nessus	NewStart CGSL Local Security Checks	2019/12/31	2024/4/2	high
128496	RHEL 7 : kdelibs and kde-settings (RHSA-2019:2606)	Nessus	Red Hat Local Security Checks	2019/9/4	2024/4/29	high
127556	FreeBSD : KDE Frameworks -- malicious .desktop files execute code (f5f0a640-bae8-11e9-bb3a-001e2a3f778d)	Nessus	FreeBSD Local Security Checks	2019/8/12	2024/5/7	high
127926	Debian DLA-1890-1 : kde4libs security update	Nessus	Debian Local Security Checks	2019/8/20	2024/5/2	high
127824	Fedora 30：kf5-kconfig（2019-48b691092f）	Nessus	Fedora Local Security Checks	2019/8/13	2024/5/3	high
127883	openSUSEセキュリティ更新プログラム：kconfig/kdelibs4（openSUSE-2019-1851）	Nessus	SuSE Local Security Checks	2019/8/14	2024/5/3	high
127940	Fedora 29：kdelibs3（2019-9f2ee52c88）	Nessus	Fedora Local Security Checks	2019/8/20	2024/5/2	high
128494	Oracle Linux 7 : kde-settings/kdelibs（ELSA-2019-2606）	Nessus	Oracle Linux Local Security Checks	2019/9/4	2024/4/29	high
128500	Scientific Linux セキュリティ更新: SL7.x x86_64のkdelibsおよびkde-settings（20190903）	Nessus	Scientific Linux Local Security Checks	2019/9/4	2024/4/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high