現已提供適用於 Red Hat Enterprise Linux 5 的更新版 gnome-vfs2 套件，可修正一個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

gnome-vfs2 套件提供 GNOME 虛擬檔案系統，這是 Nautilus 檔案管理員的基礎。neon 是內嵌於 gnome-vfs2 套件中的 HTTP 與 WebDAV 用戶端程式庫。

在 neon 可延伸標記語言 (XML) 剖析器中發現拒絕服務瑕疵。以使用 gnome-vfs2 的應用程式 (例如 Nautilus) 造訪惡意的 DAV 伺服器可能會導致該應用程式消耗過量的 CPU 和記憶體。
(CVE-2009-2473)

此更新也可修正下列錯誤：

* 當從統一資源識別碼 (URI) 擷取出來時，gnome-vfs2 會傳回逸出的檔案路徑。如果路徑 (如同 URI 中儲存的) 包含非 ASCII 字元或 ASCII 字元，這些字元會被剖析為檔案路徑以外的東西 (例如空格)，則逸出的路徑會不正確。因此，無法處理具有上述 URI 類型的檔案。透過此更新，gnome-vfs2 即可正確未逸出系統呼叫所需的路徑。因此，可以正確剖析這些路徑。(BZ#580855)

* 在某些情況下，外部項目會填入垃圾資訊檔案，並指向即時資料。清空垃圾會導致意外刪除重要資料。透過此更新，即會套用因應措施，以便防止刪除。因此，可以防止意外的資料遺失，不過，進一步資訊仍待收集，才能完整修正此問題。(BZ#586015)

* 由於針對目的地檔案系統的錯誤測試檢查，Nautilus 檔案管理員無法刪除位於另一個檔案系統中的資料夾的符號連結。透過此更新，會新增一個特殊測試。因此，可以將指向另一個檔案系統的符號連結丟進垃圾桶或妥善刪除。(BZ#621394)

* 在此更新之前，當將沒有讀取權限的目錄標示起來以便複製時，Nautilus 檔案管理員會在不通知的情況下，跳過這些無法讀取的目錄。透過此更新，Nautilus 會顯示錯誤訊息，並正確通知使用者上述的問題。(BZ#772307)

* 之前，gnome-vfs2 針對 MultiVersion File System (MVFS) (例如 IBM Rational ClearCase 所使用的) 上的每個檔案都使用 stat() 函式呼叫。此行為會明顯減慢檔案作業的速度。透過此更新，即已限制非必要的 stat() 作業。因此，gnome-vfs2 使用者介面 (例如 Nautilus) 的回應能力更好了。(BZ#822817)

建議所有 gnome-vfs2 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

在 neon 可延伸標記語言 (XML) 剖析器中發現拒絕服務瑕疵。以使用 gnome-vfs2 的應用程式 (例如 Nautilus) 造訪惡意的 DAV 伺服器可能會導致該應用程式消耗過量的 CPU 和記憶體。
(CVE-2009-2473)

此更新也可修正下列錯誤：

- 從統一資源識別碼 (URI) 擷取時，gnome-vfs2 會傳回逸出的檔案路徑。如果路徑 (如同 URI 中儲存的) 包含非 ASCII 字元或 ASCII 字元，這些字元會被剖析為檔案路徑以外的東西 (例如空格)，則逸出的路徑會不正確。因此，無法處理具有上述 URI 類型的檔案。
 透過此更新，gnome-vfs2 即可正確未逸出系統呼叫所需的路徑。因此，可以正確剖析這些路徑。

- 在某些情況下，外部項目會填入垃圾資訊檔案，並指向即時資料。清空垃圾會導致意外刪除重要資料。
 透過此更新，即會套用因應措施，以便防止刪除。因此，可以防止意外的資料遺失，不過，進一步資訊仍待收集，才能完整修正此問題。

- 由於針對目的地檔案系統的錯誤測試檢查，Nautilus 檔案管理員無法刪除位於另一個檔案系統中的資料夾的符號連結。透過此更新，會新增一個特殊測試。因此，可以將指向另一個檔案系統的符號連結丟進垃圾桶或妥善刪除。

- 在此更新之前，當將沒有讀取權限的目錄標示起來以便複製時，Nautilus 檔案管理員會在不通知的情況下，跳過這些無法讀取的目錄。透過此更新，Nautilus 會顯示錯誤訊息，並正確通知使用者上述的問題。

- 之前，gnome-vfs2 針對 MultiVersion File System (MVFS) (例如 IBM Rational ClearCase 所使用的) 上的每個檔案都使用 stat() 函式呼叫。此行為會明顯減慢檔案作業的速度。透過此更新，即已限制非必要的 stat() 作業。因此，gnome-vfs2 使用者介面 (例如 Nautilus) 的回應能力更好了。

來自 Red Hat 安全性公告 2009:1452：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 neon 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

neon 是使用 C 介面的 HTTP 與 WebDAV 用戶端程式庫。它為 HTTP 與 WebDAV 方法提供高階介面，也為 HTTP 要求處理提供低階介面。neon 支援持續連線、Proxy 伺服器、基本、摘要式與 Kerberos 驗證，並有完整的 SSL 支援。

據發現，neon 受之前發佈的「null prefix attack」影響，此問題因在 X.509 憑證中錯誤處理 NULL 字元而導致。如果攻擊者能夠取得由受信任之憑證授權單位簽署的特製憑證，就可以在攔截式攻擊期間利用該憑證，並可能誘使使用 neon 程式庫的應用程式錯誤地接受它。(CVE-2009-2474)

在 neon 可延伸標記語言 (XML) 剖析器中發現拒絕服務瑕疵。如果使用 neon XML 剖析器的應用程式遭誘騙對其進行處理，遠端攻擊者 (惡意 DAV 伺服器) 可提供特製的 XML 文件，導致消耗過量記憶體與 CPU。(CVE-2009-2473)

所有 neon 使用者皆應升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。使用 neon HTTP 與 WebDAV 用戶端程式庫的應用程式 (如 cadaver) 必須重新啟動，此更新才能生效。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2013-0131 公告中提及的一個弱點影響。

    [2.16.2-10.el5]
    - 防止垃圾桶 applet 損毀 (#848822)

    [2.16.2-9.el5]
    - 防止刪除連結出回收站的項目 (#586015)
    - 不統計 ClearCase mvfs 檔案系統上的每個檔案 (#822817)
    - 複製期間不以無訊息模式略過沒有讀取權限的目錄 (#772307)
    - 允許將符號連結放入不支援垃圾桶的檔案系統 root (#621394)
    - CVE-2009-2473 gnome-vfs2 內嵌 neonbillion laughs DoS 攻擊 (#540548)

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CVE-2009-2473 neon、gnome-vfs2 內嵌 neon：billion laughs DoS 攻擊

CVE-2009-2474 neon：不當驗證特定欄位中含 NULL (零) 位元組的 x509v3 憑證

據發現，neon 受之前發佈的「null prefix attack」影響，此問題因在 X.509 憑證中錯誤處理 NULL 字元而導致。如果攻擊者能夠取得由受信任之憑證授權單位簽署的特製憑證，就可以在攔截式攻擊期間利用該憑證，並可能誘使使用 neon 程式庫的應用程式錯誤地接受它。(CVE-2009-2474)

在 neon 可延伸標記語言 (XML) 剖析器中發現拒絕服務瑕疵。如果使用 neon XML 剖析器的應用程式遭誘騙對其進行處理，遠端攻擊者 (惡意 DAV 伺服器) 可提供特製的 XML 文件，導致消耗過量記憶體與 CPU。(CVE-2009-2473)

使用 neon HTTP 與 WebDAV 用戶端程式庫的應用程式 (如 cadaver) 必須重新啟動，此更新才能生效。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 使用 expat 時， 0.28.6版之前的 neon 在實體擴充期間未正確偵測遞回，其允許內容相依的攻擊者透過含有大量巢狀實體的特製 XML 文件，造成拒絕服務 (記憶體和 CPU 消耗)參照，此問題與 CVE-2003-1564類似。
    (CVE-2009-2473)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
63576	CentOS 5 : gnome-vfs2 (CESA-2013:0131)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63594	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 gnome-vfs2	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
67927	Oracle Linux 4 / 5 : neon (ELSA-2009-1452)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
68702	Oracle Linux 5：gnome-vfs2 (ELSA-2013-0131)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	high
60667	Scientific Linux 安全性更新：SL4.x、SL5.x i386/x86_64 上的 neon	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
63412	RHEL 5 : gnome-vfs2 (RHSA-2013:0131)	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
217160	Linux Distros 未修補弱點：CVE-2009-2473	Nessus	Misc.	2025/3/3	2025/3/3	high

偵測

搜尋 Plugin

medium

medium

high

high

medium

medium

high