The version of Opera installed on the remote Windows host is prior to 11.60. It is, therefore, affected by multiple vulnerabilities :

  - An unspecified error exists that can allow URL     spoofing in the address bar. (CVE-2011-4010)

  - Top level domain separation rules are not honored for     two-letter top level domains, e.g., '.us' or '.uk', and     some three-letter top level domains. This error can     allow sites to set the scripting context to the top     level domain. Further, this can allow sites to set and     read cookies from other sites whose scripting context is     set to the same top level domain. (CVE-2011-4681)

  - An error exists in the implementation of the JavaScript     'in' operator that can allow sites to verify the     existence of variables of sites in other domains.
    (CVE-2011-4682)

  - An unspecified, moderately severe issue exists. Details     are to be disclosed by the vendor at a later date.
    (CVE-2011-4683)

  - The browser does not properly handle certain corner     cases related to certificate revocation. (CVE-2011-4684)

  - Unspecified content can cause the 'Dragonfly' component     of the browser to crash. (CVE-2011-4685)

  - An unspecified error exists related to the 'Web     Workers' implementation that can allow application     crashes. (CVE-2011-4686)

  - An unspecified error exists that can allow remote     content to cause denial of service conditions via     resource consumption. (CVE-2011-4687)

  - An information disclosure vulnerability, known as BEAST,     exists in the SSL 3.0 and TLS 1.0 protocols due to a     flaw in the way the initialization vector (IV) is     selected when operating in cipher-block chaining (CBC)     modes. A man-in-the-middle attacker can exploit this     to obtain plaintext HTTP header data, by using a     blockwise chosen-boundary attack (BCBA) on an HTTPS     session, in conjunction with JavaScript code that uses     the HTML5 WebSocket API, the Java URLConnection API,     or the Silverlight WebClient API. (CVE-2011-3389)

リモート Windows ホストにインストールされている Opera のバージョンは、 11.60 以前です。したがって、以下の複数の脆弱性による影響を受けます。

  - アドレスバーでURLなりすましを可能にする詳細不明なエラーが存在します。（CVE-2011-4010）

  - トップレベルのドメイン分離ルールが、「.us」や「.uk」などの 2 文字のトップレベルドメインや、3 文字のトップレベルドメインに対して反映されていません。このエラーによって、サイトはスクリプトのコンテキストをトップレベルドメインに設定することができます。さらに、これによって、サイトは、スクリプトのコンテキストを同じトップレベルドメインに設定している他のサイトからのクッキーを設定、読み取ることができます。（CVE-2011-4681）

  - JavaScript の「in」オペレータの実装にエラーが存在するため、サイトが他のドメインにあるサイトの変数の存在を検証する可能性があります。
    (CVE-2011-4682)

  - 詳細不明な、重要度中の問題が存在します。詳細は、後日、ベンダーによって開示されます。
    (CVE-2011-4683)

  - ブラウザは、証明書失効に関連する特定の稀なケースを適切に処理しません。（CVE-2011-4684）

  - 詳細不明なコンテンツによって、ブラウザの「Dragonfly」コンポーネントがクラッシュする可能性があります。（CVE-2011-4685）

  - 「Web Workers」の実装に関して詳細不明なエラーが存在し、アプリケーションのクラッシュが引き起こされる可能性があります。（CVE-2011-4686）

  - 詳細不明なエラーが存在し、リモートコンテンツがリソースの消費によってサービス拒否の状態を引き起こす可能性があります。（CVE-2011-4687）

  - 暗号ブロックチェーン（CBC）モードで動作している時に初期化ベクトル（IV）の選択方法に欠陥があるため、 BEAST として知られている情報漏洩の脆弱性が SSL 3.0 および TLS 1.0 プロトコルに存在します。中間者攻撃者がこれを悪用して、HTML5 WebSocket API、Java URLConnection API、またはSilverlight WebClient APIを使用するJavaScriptコードと連携して、HTTPSセッションでブロック選択境界攻撃（BCBA）を使用することにより平文HTTPヘッダーデータを取得できます。（CVE-2011-3389）

远程 Windows 主机上安装的 Opera 版本低于 11.60。因此，它受到多种漏洞的影响：

- 存在一个可允许在地址栏中欺骗 URL 的不明错误。(CVE-2011-4010)

- 双字母顶级域（例如“.us”或“.uk”）和某些三字母顶级域不遵循顶级域分隔规则。此错误可允许站点将脚本上下文设定为顶级域。这更进一步可允许站点设定及读取其脚本上下文设定为同样顶级域的其他站点的 Cookie。(CVE-2011-4681)

- JavaScript“in”运算符的实现中存在一个错误，该错误可允许站点验证其他域中的站点的变量存在。
 (CVE-2011-4682)

- 存在一个不明中危问题。详细信息将由供应商在以后公布。
 (CVE-2011-4683)

- 浏览器未正确处理与证书吊销有关的某些极端情况。(CVE-2011-4684)

- 不明内容可造成浏览器的“Dragonfly”组件崩溃。(CVE-2011-4685)

- 存在一个与“Web 工作线程”实现有关的不明错误，可造成应用程序崩溃。(CVE-2011-4686)

- 存在一个不明错误，该错误可允许远程内容通过资源消耗而造成拒绝服务情况。(CVE-2011-4687)

- 由于在密码块链接 (CBC) 模式下运行时初始化矢量 (IV) 的选择方式中存在缺陷，SSL 3.0 和 TLS 1.0 协议存在被称为 BEAST 的信息泄露漏洞。中间人攻击者可利用此缺陷，通过对 HTTPS 会话进行块式选择边界攻击 (BCBA)，并结合使用 HTML5 WebSocket API、Java URLConnection API 或 Silverlight WebClient API 的 JavaScript 代码，获得明文 HTTP 标头数据。(CVE-2011-3389)

遠端 Windows 主機上安裝的 Opera 版本比 11.60 舊。因此，會受到多個弱點影響：

- 存在一個可允許在位址列中偽造 URL 的不明錯誤。(CVE-2011-4010)

- 雙字母頂層網域 (例如「.us」或「.uk」) 和某些三字母頂層網域不接受頂層網域分隔規則。此錯誤可允許網站將指令碼內容設定為頂層網域。這更進一步可允許網站設定及讀取其指令碼內容設定為同樣頂層網域之其他網站的 cookie。(CVE-2011-4681)

- JavaScript「in」操作員的實作中存在一個錯誤，可允許網站驗證其他網域之網站的變數是否存在。
 (CVE-2011-4682)

- 存在一個不明的中等嚴重問題。詳細資料將由供應商在稍後公布。
 (CVE-2011-4683)

- 瀏覽器未正確處理與憑證撤銷有關的某些邊角案例。(CVE-2011-4684)

- 不明內容可造成瀏覽器的「Dragonfly」元件損毀。(CVE-2011-4685)

- 存在一個與「Web 背景工作」實作有關的不明錯誤，可造成應用程式損毀。(CVE-2011-4686)

- 存在一個不明錯誤，可允許遠端內容透過資源消耗而造成拒絕服務情形。(CVE-2011-4687)

- 由於在加密區塊鏈結 (CBC) 模式下運作時選取初始化向量 (IV) 之方式中有一個瑕疵，所以 SSL 3.0 和 TLS 1.0 通訊協定中存在稱為 BEAST 的資訊洩漏弱點。攔截式攻擊者可惡意利用此弱點，藉由使用 HTTPS 工作階段上的列塊選擇邊界攻擊 (BCBA)，並搭配使用 HTML5 WebSocket API、 Java URLConnection API 或 Silverlight WebClient API 的 JavaScript 程式碼，獲取純文字 HTTP 標頭資料。(CVE-2011-3389)

The remote host is running the Opera web browser.  

Versions of Opera earlier than 11.60 are potentially affected by multiple vulnerabilities : 

  - Top level domain separation rules are not honored for two-letter top level domains, e.g., .us or .uk and some three-letter top-level domains.  This error can allow sites to set the scripting context to the top level domain.  Further, this can allow sites to set and read cookies from other sites whose scripting context is set to the same top level domain. (Issue 1003)

  - An error exists in the SSLv3 and TLSv1.3 specification that can allow the BEAST attack. (Issue 1004)

  - An error exists in the implementation of the JavaScript 'in' operator that can allow sites to verify the existence of variables of sites in other domains. (Issue 1005)

  - An unspecified, moderately sever issue exists.  Details are to be disclosed by the vendor at a later date.

The remote host is running the Opera web browser. 

Versions of Opera earlier than 11.60 are potentially affected by multiple vulnerabilities : 

  - Top level domain separation rules are not honored for two-letter top level domains, e.g., .us or .uk and some three-letter top-level domains.  This error can allow sites to set the scripting context to the top level domain.  Further, this can allow sites to set and read cookies from other sites whose scripting context is set to the same top level domain. (Issue 1003)

  - An error exists in the SSLv3 and TLSv1.3 specification that can allow the BEAST attack. (Issue 1004)

  - An error exists in the implementation of the JavaScript 'in' operator that can allow sites to verify the existence of variables of sites in other domains. (Issue 1005)

  - An unspecified, moderately sever issue exists.  Details are to be disclosed by the vendor at a later date.
IAVB Reference : 2012-B-0006
STIG Finding Severity : Category I

ID	名稱	產品	系列	已發布	已更新	嚴重性
57039	Opera < 11.60 Multiple Vulnerabilities (BEAST)	Nessus	Windows	2011/12/7	2022/12/5	high
57039	Opera < 11.60 複数の脆弱性（BEAST）	Nessus	Windows	2011/12/7	2022/12/5	high
57039	Opera < 11.60 多种漏洞 (BEAST)	Nessus	Windows	2011/12/7	2022/12/5	high
57039	Opera < 11.60 多個弱點 (BEAST)	Nessus	Windows	2011/12/7	2022/12/5	high
6105	Opera < 11.60 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2011/12/7	2019/3/6	high
800845	Opera < 11.60 Multiple Vulnerabilities	Log Correlation Engine	Web Clients	2011/12/7		high

偵測

搜尋 Plugin

high

high

high

high

high

high