This update for kconfig, kdelibs4 fixes the following issues :

  - CVE-2019-14744: Fixed a command execution by an shell     expansion (boo#1144600).

This update fixes **CVE-2019-14744 (kconfig arbitrary shell code execution)** in the KDE 3 compatibility version of kdelibs used by legacy KDE 3 applications.

The full list of fixes in this `kdelibs3` build :

  - fixes **CVE-2019-14744** - `kconfig`: malicious     `.desktop` files (and others) would execute code.
    KConfig had a well-meaning feature that allowed     configuration files to execute arbitrary shell commands.
    Unfortunately, this could be abused by untrusted     `.desktop` files to execute arbitrary code as the target     user, without the user even running the `.desktop` file.
    Therefore, this update removes that ill-fated feature.
    (Backported by Kevin Kofler from upstream: `kf5-kconfig`     fix by David Faure, `kdelibs` 4 backport by Kai Uwe     Broulik.)

  - adds native support for **xdg-user-dirs** for *Desktop*     and *Documents*, without shelling out to `xdg-user-dir`     from the config file. This is needed due to the above     security fix. (This feature was previously implemented     in the Fedora `kde-settings` by shelling out to     `xdg-user-dir` from the config file using the KConfig     feature removed above.) (Backported by Kevin Kofler from     Trinity Desktop / Timothy Pearson.)

  - fixes a **KJS double-free** that could crash legacy KDE     3 applications such as Quanta Plus when trying to     execute JavaScript. (Backported by OpenSUSE / Wolfgang     Bauer from Trinity Desktop / Timothy Pearson.)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Oracle Linux 7 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2019-2606 advisory.

    kdelibs     [6:4.14.8-11]
    - KConfig: malicious .desktop files would execute code       Resolves: bz#1740736

    kde-settings     [19-23.10.0.1]
    - Change GreetString [bug 11710280]

    [19-23.10]
    - Use correct tcsh syntax for config scripts       Resolves: bz#1738491

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

- kdelibs: malicious desktop files and configuration files     lead to code&#13; execution with minimal user     interaction (CVE-2019-14744)&#13; &#13; Bug     Fix(es):&#13; &#13;

  - kde.csh profile file contains bourne-shell code&#13;
    --&#13;

CVE-2019-14744のセキュリティ問題を修正するには、Upstream修正をバックポートします。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

kconfig、kdelibs4用のこの更新プログラムでは、以下の問題が修正されています：

  - CVE-2019-14744：シェル拡張によるコマンド実行を修正しました（boo#1144600）。

この更新により、レガシーKDE 3アプリケーションによって使用されるkdelibsのKDE 3互換性バージョン4の**CVE-2019-14744（kconfigの任意のシェルコード実行）**を修正します。

この「kdelibs3」ビルドの修正の完全なリスト：

  - 修正**CVE-2019-14744** -「kconfig」：悪意のある「.desktop」ファイル（およびその他）がコードを実行する可能性があります。
    KConfigには、構成ファイルが任意のシェルコマンドを実行できるようにする意味のある機能がありました。
    残念ながら、これが信頼性の低い「.desktop」ファイルに悪用され、ユーザーが「.desktop」ファイルを実行しなくても、ターゲットユーザーとして任意のコードを実行する可能性があります。
    したがって、この更新プログラムにより、その不運な機能が削除されます。
    （上流のKevin Kofler氏によりバックポート：David Faure氏による「kf5-kconfig」の修正、Kai Uwe Broulik氏による「kdelibs」4バックポート。）

  - 構成ファイルから「xdg-user-dir」にシェルアウトすることなく、*Desktop*および*Documents*用の**xdg-user-dirs**のネイティブサポートを追加します。これは、上記のセキュリティ修正のために必要です。（以前、この機能は削除されたKConfig機能を使用して構成ファイルから「xdg-user-dir」にシェルアウトすることで、Fedoraの「kde-settings」に実装されていました。）（Trinity Desktop/Timothy PearsonのKevin Kofler氏によりバックポートされました。）

  - JavaScriptを実行しようとする際にQuanta PlusなどのレガシーKDE 3アプリケーションをクラッシュさせる可能性がある**KJS二重解放**を修正します。（OpenSUSE/Trinity DesktopのWolfgang Bauer氏/Timothy Pearson氏によりバックポートされています。）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

出典：Red Hatセキュリティアドバイザリ2019:2606：kdelibsおよびkde-settingの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。KDE（K Desktop Environment）は、X Window System向けのグラフィカルデスクトップ環境です。kdelibsパッケージには、K Desktop Environment用のコアライブラリが含まれています。セキュリティ修正プログラム：* kdelibs：悪意のあるデスクトップファイルと構成ファイルにより、最小限のユーザー操作でコードが実行される可能性があります（CVE-2019-14744）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* kde.cshプロファイルファイルにはbourne-shellコードが含まれています（BZ#1740042）

- kdelibs: 悪意のあるデスクトップファイルと設定ファイルで、
 最小限のユーザー対話でコードが実行される可能性（CVE-2019-14744）
 
 バグ修正プログラム:
 

  - kde.cshプロファイルファイルにはbourne-shellコードが含まれています
    --

ID	名稱	產品	系列	已發布	已更新	嚴重性
127883	openSUSE Security Update : kconfig / kdelibs4 (openSUSE-2019-1851)	Nessus	SuSE Local Security Checks	2019/8/14	2024/5/3	high
127940	Fedora 29 : kdelibs3 (2019-9f2ee52c88)	Nessus	Fedora Local Security Checks	2019/8/20	2024/5/2	high
128494	Oracle Linux 7 : kdelibs / and / kde-settings (ELSA-2019-2606)	Nessus	Oracle Linux Local Security Checks	2019/9/4	2024/11/1	high
128500	Scientific Linux Security Update : kdelibs and kde-settings on SL7.x x86_64 (20190903)	Nessus	Scientific Linux Local Security Checks	2019/9/4	2024/4/29	high
127824	Fedora 30：kf5-kconfig（2019-48b691092f）	Nessus	Fedora Local Security Checks	2019/8/13	2024/5/3	high
127883	openSUSEセキュリティ更新プログラム：kconfig/kdelibs4（openSUSE-2019-1851）	Nessus	SuSE Local Security Checks	2019/8/14	2024/5/3	high
127940	Fedora 29：kdelibs3（2019-9f2ee52c88）	Nessus	Fedora Local Security Checks	2019/8/20	2024/5/2	high
128494	Oracle Linux 7 : kde-settings/kdelibs（ELSA-2019-2606）	Nessus	Oracle Linux Local Security Checks	2019/9/4	2024/11/1	high
128500	Scientific Linux セキュリティ更新: SL7.x x86_64のkdelibsおよびkde-settings（20190903）	Nessus	Scientific Linux Local Security Checks	2019/9/4	2024/4/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high