An XSS vulnerability was discovered in noVNC in which the remote VNC server could inject arbitrary HTML into the noVNC web page via the messages propagated to the status field, such as the VNC server name.

For Debian 8 'Jessie', this problem has been fixed in version 1:0.4+dfsg+1+20131010+gitf68af8af3d-4+deb8u1.

We recommend that you upgrade your novnc packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Debian 9 host has packages installed that are affected by a vulnerability as referenced in the dla-2854 advisory.

  - An XSS vulnerability was discovered in noVNC before 0.6.2 in which the remote VNC server could inject     arbitrary HTML into the noVNC web page via the messages propagated to the status field, such as the VNC     server name. (CVE-2017-18635)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2020:0754 advisory.

    The novnc package provides a VNC client that uses HTML5 (Web Sockets, Canvas) and includes encryption     support.

    An XSS vulnerability was discovered in noVNC in which arbitrary HTML could be injected into the noVNC web     page. An attacker having access to a VNC server could use target host values in a crafted URL to gain     access to secure information (such as VM tokens). (CVE-2017-18635)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Ubuntu 16.04 LTS host has packages installed that are affected by a vulnerability as referenced in the USN-4522-1 advisory.

    It was discovered that noVNC did not properly manage certain messages,

    resulting in the remote VNC server injecting arbitrary HTML into the noVNC web page. An attacker could use     this issue to conduct cross-site

    scripting (XSS) attacks. (CVE-2017-18635)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

在 noVNC 中發現一個 XSS 弱點，遠端 VNC 伺服器可以透過傳播到狀態欄位的訊息 (例如 VNC 伺服器名稱) 將任意 HTML 插入 noVNC 網頁中。針對 Debian 8「Jessie」，此問題已在 1:0.4+dfsg+1+20131010+gitf68af8af3d-4+deb8u1 版本中修正。建議您升級 novnc 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Debian 9 主機上安裝的套件受 dla-2854 公告中提及的一個弱點影響。

  - 在 0.6.2 之前的 noVNC 中發現一個 XSS 弱點，遠端 VNC 伺服器可以透過傳播到狀態欄位的訊息 (例如 VNC 伺服器名稱) 將任意 HTML 插入 noVNC 網頁中。 (CVE-2017-18635)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

noVNCでXSSの脆弱性が発見されました。それにより、リモートVNCサーバーが、VNCサーバー名などのステータスフィールドに伝播されたメッセージを介してnoVNCのWebページに任意のHTMLを挿入する可能性があります。

Debian 8「Jessie」では、この問題はバージョン1:0.4+dfsg+1+20131010+gitf68af8af3d-4+deb8u1で修正されました。

novncのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 9 ホストには、dla-2854 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 0.6.2以前のnoVNCで　XSSの脆弱性が発見されました。そこでは、リモートVNCサーバーが、VNCサーバー名などのステータスフィールドに伝播されたメッセージを介してnoVNCのWebページに任意のHTMLを挿入できます。 (CVE-2017-18635)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 0754 のアドバイザリに記載されている脆弱性の影響を受けます。

  - novnc: メッセージがステータスフィールドに伝播することによる XSS の脆弱性 (CVE-2017-18635)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 16.04 LTSホストには、USN-4522-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 0.6.2以前のnoVNCで　XSSの脆弱性が発見されました。そこでは、リモートVNCサーバが、VNCサーバー名などのステータスフィールドに伝播されたメッセージを介してnoVNCのWebページに任意のHTMLを挿入できます。（CVE-2017-18635）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 0754 公告中提及的一個弱點影響。

  - novnc：透過傳播至狀態欄位的訊息引致的 XSS 弱點 (CVE-2017-18635)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 LTS 主機已安裝套件，這些套件會受 USN-4522-1 公告中所提及的弱點影響。

  - 在 0.6.2 之前的 noVNC 中發現一個 XSS 弱點，遠端 VNC 伺服器可以透過傳播到狀態欄位的訊息 (例如 VNC 伺服器名稱) 將任意 HTML 插入 noVNC 網頁中。 (CVE-2017-18635)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

noVNC 中发现 XSS 漏洞，远程 VNC 服务器可能会利用此漏洞，通过传播到状态字段的消息（例如 VNC 服务器名称）向 noVNC web 页面注入任意 HTML。对于 Debian 8“Jessie”，此问题已在 1:0.4+dfsg+1+20131010+gitf68af8af3d-4+deb8u1 版本中修复。建议您升级 novnc 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Debian 9 主机上安装的程序包受到 dla-2854 公告中提及的一个漏洞影响。

  - 在版本低于 0.6.2 的 noVNC 中发现 XSS 漏洞，远程 VNC 服务器可能利用此漏洞，通过传播到状态字段的消息（例如 VNC 服务器名称）向 noVNC 网页注入任意 HTML。(CVE-2017-18635)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0754 公告中提及的多个漏洞的影响。

  - novnc：通过传播到状态字段的消息的 XSS 漏洞 (CVE-2017-18635)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4522-1 公告中提及的漏洞的影响。

  - 在版本低于 0.6.2 的 noVNC 中发现 XSS 漏洞，远程 VNC 服务器可能利用此漏洞，通过传播到状态字段的消息（例如 VNC 服务器名称）向 noVNC 网页注入任意 HTML。(CVE-2017-18635)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
129594	Debian DLA-1946-1 : novnc security update	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	medium
156332	Debian DLA-2854-1 : novnc - LTS security update	Nessus	Debian Local Security Checks	2021/12/28	2023/11/22	medium
170343	RHEL 7 : novnc (RHSA-2020:0754)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	medium
140717	Ubuntu 16.04 LTS : noVNC vulnerability (USN-4522-1)	Nessus	Ubuntu Local Security Checks	2020/9/21	2024/8/27	medium
129594	Debian DLA-1946-1：novnc 安全性更新	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	medium
156332	Debian DLA-2854-1：novnc - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/12/28	2023/11/22	medium
129594	Debian DLA-1946-1 : novncセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	medium
156332	Debian DLA-2854-1 : novnc - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2021/12/28	2023/11/22	medium
170343	RHEL 7: novnc (RHSA-2020: 0754)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	medium
140717	Ubuntu 16.04 LTS：noVNCの脆弱性（USN-4522-1）	Nessus	Ubuntu Local Security Checks	2020/9/21	2024/8/27	medium
170343	RHEL 7：novnc (RHSA-2020: 0754)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	medium
140717	Ubuntu 16.04 LTS：noVNC 弱點 (USN-4522-1)	Nessus	Ubuntu Local Security Checks	2020/9/21	2024/8/27	medium
129594	Debian DLA-1946-1：novnc 安全更新	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	medium
156332	Debian DLA-2854-1：novnc - LTS 安全更新	Nessus	Debian Local Security Checks	2021/12/28	2023/11/22	medium
170343	RHEL 7：novnc (RHSA-2020: 0754)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	medium
140717	Ubuntu 16.04 LTS：noVNC 漏洞 (USN-4522-1)	Nessus	Ubuntu Local Security Checks	2020/9/21	2024/8/27	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium