Calum Hutton 報告處理程序狀態控制系統 supervisor 中的 XML-RPC 伺服器未正確驗證要求的 XML-RPC 方法，經驗證的用戶端可藉此傳送惡意的 XML-RPC 要求給 supervisord，其會以等同於 supervisord 的使用者身分在伺服器上執行任意 shell 命令。目前已藉由完全停用巢狀名稱空間查詢來解決此弱點。supervisord 現在起只會在註冊處理 XML-RPC 要求的物件上呼叫方法，而非在其可能內含的任何子物件上呼叫方法，可能會中斷現有設定。目前市面上尚未有任何已知的外掛程式使用巢狀名稱空間。使用單一名稱空間的外掛程式仍會照常運作。詳細資訊請參閱公佈於以下網站的上游問題 https://github.com/Supervisor/supervisor/issues/964。

遠端主機受到 GLSA-201709-06 中所述的弱點影響 (Supervisor：命令插入弱點) 在 Supervisor 中發現一個弱點：經驗證的用戶端可傳送惡意的 XML-RPC 要求，而 supervidord 會以處理程序的權限，將這些要求當成殼層命令來執行。在某些情況下，會以 root 權限設定 supervisord。影響：遠端攻擊者可利用處理程序的權限執行任意程式碼。因應措施：目前尚無已知的因應措施。

在控制處理程序狀態的系統 supervisor 中發現一個弱點，經驗證的用戶端可傳送惡意的 XML-RPC 要求給 supervisord 以在伺服器上執行任意 shell 命令。這些命令會以等同於 supervisord 的使用者身分執行。針對 Debian 7「Wheezy」，這些問題已在 3.0a8-1.1+deb7u2 版本中修正。建議您升級 supervisor 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:3005 公告中提及的多個弱點影響。

  - supervisor：透過惡意 XML-RPC 要求插入命令 (CVE-2017-11610)

  - Ansible Tower：透過上游腳本執行，修改 SCM repo 中的 Git Hook (CVE-2017-12148)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
102449	Debian DSA-3942-1：supervisor - 安全性更新	Nessus	Debian Local Security Checks	2017/8/14	2021/1/4	high
103274	GLSA-201709-06：Supervisor：命令插入弱點	Nessus	Gentoo Local Security Checks	2017/9/18	2021/1/11	high
102085	Debian DLA-1047-1：supervisor 安全性更新	Nessus	Debian Local Security Checks	2017/8/1	2021/1/11	high
194022	RHEL 7：Red Hat CloudForms (RHSA-2017:3005)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	high

偵測

搜尋 Plugin

high

high

high

high