The remote host is affected by the vulnerability described in GLSA-201703-06 (Deluge: Remote execution of arbitrary code)

    A CSRF vulnerability was discovered in the web UI of Deluge.
  Impact :

    A remote attacker could entice a user currently logged in into Deluge       web UI to visit a malicious web page which uses forged requests to make       Deluge download and install a Deluge plug-in provided by the attacker.
      The plug-in can then execute arbitrary code as the user running Deluge.
  Workaround :

    There is no known workaround at this time.

リモートホストは、GLSA-201703-06（Deluge：任意のコードのリモート実行）で説明されている脆弱性による影響を受けます。DelugeのWeb UIでCSRF脆弱性が発見されました。影響：リモートの攻撃者は、Deluge Web UIに現在ログインしているユーザーを誘導して、偽造されたリクエストを使用する悪意のあるWebページを訪問させ、攻撃者が提供したDelugeプラグインをDelugeにダウンロードおよびインストールさせる可能性があります。その後、ユーザーがDelugeを実行すると、プラグインによって任意のコードが実行されます。回避策：現時点では、既知の回避策はありません。

遠端主機受到 GLSA-201703-06 中所述的弱點影響 (Deluge：遠端任意程式碼執行) 在 Deluge 函式的 web UI 中發現一個 CSRF 弱點。影響：遠端攻擊者可引誘目前登入 Deluge web UI 的使用者造訪惡意使用偽造要求的網頁，以讓 Deluge 下載及安裝攻擊者提供的 Deluge 外掛程式。此外掛程式接著會以執行 Deluge 的使用者身份執行任意程式碼。因應措施：目前尚無已知的因應措施。

远程主机受到 GLSA-201703-06 中所述漏洞的影响（Deluge：远程任意代码执行）在 Deluge 函数的 web UI 中发现一个 CSRF 漏洞。影响：远程攻击者可引诱目前登录 Deluge web UI 的用户访问恶意使用伪造请求的网页，以让 Deluge 下载及安装攻击者提供的 Deluge 插件。此插件接着会以运行 Deluge 的用户身份执行任意代码。解决方法：目前无任何已知的解决方法。

This update for deluge fixes two security issues :

  - CVE-2017-9031: A remote attacker may have used a     directory traversal vulnerability in the web interface     (bsc#1039815)

  - CVE-2017-7178: A remote attacher could have exploited a     CSRF vulnerability to trick a logged-in user to perform     actions in the WebUI (bsc#1039958)

In addition, deluge was updated to 1.3.15 with the following fixes and changes :

  - Core: Fix issues with displaying libtorrent-rasterbar     single proxy.

  - Core: Fix libtorrent-rasterbar 1.2 trackers crashing     Deluge UIs.

  - Core: Fix an error in torrent priorities causing file     priority mismatch in UIs.

  - GtkUI: Fix column sort state not saved in Thinclient     mode.

  - GtkUI: Fix a connection manager error with malformed ip.

  - GtkUI: Rename SystemTray/Indicator 'Pause/Resume All' to     'Pause/Resume Session'.

  - GtkUI: Workaround libtorrent-rasterbar single proxy by     greying out unused proxy types.

  - Notification Plugin: Fix webui passing string for int     port value.

  - AutoAdd Plugin: Add WebUI preferences page detailing     lack of configuration via WebUI.

  - Label Plugin: Add WebUI preferences page detailing how     to configure plugin.

  - Core: Fix 'Too many files open' errors.

  - Core: Add support for python-GeoIP for use with     libtorrent 1.1.

  - Core: Fix a single proxy entry being overwritten     resulting in no proxy set.

  - UI: Add the tracker_status translation to UIs.

  - GtkUI: Strip whitespace from infohash before checks.

  - GtkUI: Add a missed feature autofill infohash entry from     clipboard.

  - WebUI: Backport bind interface option for server.

  - ConsoleUI: Fix a decode error comparing non-ascii (str)     torrent names.

  - AutoAdd Plugin: Fixes for splitting magnets from file.

  - Remove the duplicate magnet extension when splitting.

  - Remove deluge-libtorrent-1.1-geoip.patch: fixed     upstream.

Two vulnerabilities have been discovered in the web interface of the Deluge BitTorrent client (directory traversal and cross-site request forgery).

It was discovered that there was a cross-site request forgery vulnerability in the WebUI component of the 'deluge' Bittorrent client.

For Debian 7 'Wheezy', this issue has been fixed in deluge version 1.3.3-2+nmu1+deb7u1.

We recommend that you upgrade your deluge packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

在「deluge」Bittorrent 用戶端的 WebUI 元件中發現一個跨網站要求偽造弱點。針對 Debian 7「Wheezy」，此問題已於 deluge 1.3.3-2+nmu1+deb7u1 版本中修正。建議您升級 deluge 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Deluge BitTorrent 用戶端的 web 介面中發現兩個弱點 (目錄遊走和跨網站要求偽造)。

在 Deluge BitTorrent 客户端的 web 界面中发现两个漏洞（目录遍历和跨站请求伪造）。

已发现“deluge”Bittorrent 客户端的 WebUI 组件中存在一个跨站请求伪造漏洞。对于 Debian 7“Wheezy”，此问题已在 deluge 版本 1.3.3-2+nmu1+deb7u1 中修复。建议您升级 deluge 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Deluge BitTorrentクライアントのWebインターフェイスで、2つの脆弱性が発見されました（ディレクトリトラバーサルおよびクロスサイトリクエスト偽造）。

このdelugeの更新では、 2件のセキュリティ問題が修正されます：

  - CVE-2017-9031：リモート攻撃者が、Webインターフェイスのディレクトリトラバーサルの脆弱性を利用した可能性があります（bsc#1039815）

  - CVE-2017-7178：リモート攻撃者が、CSRFの脆弱性を悪用し、ログインしたユーザーを騙してWebUIでアクションを実行させる可能性がありました（bsc#1039958）

加えて、delugeが1.3.15に更新され、次の修正と変更が行われました：

  - コア：libtorrent-rasterbarシングルプロキシの表示に伴う問題を修正します。

  - コア：libtorrent-rasterbar 1.2トラッカーによるDeluge UIのクラッシュを修正します。

  - コア：UIでファイル優先度の不一致を引き起こすtorrent優先度のエラーを修正します。

  - GtkUI：Thinclientモードで保存されない列ソート状態を修正します。

  GtkUI 無効な形式のipに伴う接続マネージャーエラーを修正します。

  GtkUI SystemTray/Indicatorの名前を「Pause/Resume All」から「Pause/Resume Session」に変更します。

  GtkUI 未使用のプロキシタイプをグレーアウトすることによるlibtorrent-rasterbarシングルプロキシの回避策。

  - 通知プラグイン：intポート値として文字列を渡すwebuiを修正します。

  - AutoAddプラグイン：WebUI経由で構成の欠如を詳述したWebUI設定ページを追加します。

  - ラベルプラグイン：プラグインの構成方法を詳述したWebUI設定ページを追加します。

  - コア：「開いているファイルが多すぎます」エラーを修正します。

  - コア：libtorrent 1.1で使用するためにpython-geoipのサポートを追加します。

  - コア：上書きされてプロキシが設定されないシングルプロキシエントリを修正します。

  - UI：UIにtracker_status変換を追加します。

  GtkUI チェックの前にinfohashから空白を取り除きます。

  GtkUI 欠落した機能のオートフィルinfohashエントリをクリップボードから追加します。

  - WebUI：サーバーのbindインターフェイスオプションをバックポートします。

  - ConsoleUI：非ASCII（str）torrent名を比較するデコードエラーを修正します。

  - AutoAddプラグイン：ファイルからの分割マグネットを修正します。

  - 分割する際に重複するマグネット拡張機能を削除します。

  - deluge-libtorrent-1.1-geoip.patchを削除します：Upstreamを修正しました。

「deluge」BittorrentクライアントのWebUIコンポーネントにクロスサイトリクエスト偽造の脆弱性があることが発見されました。

Debian 7「Wheezy」では、この問題はdelugeバージョン1.3.3-2+nmu1+deb7u1で修正されました。

delugeパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
99013	GLSA-201703-06 : Deluge: Remote execution of arbitrary code	Nessus	Gentoo Local Security Checks	2017/3/28	2021/1/11	high
99013	GLSA-201703-06：Deluge：任意のコードのリモート実行	Nessus	Gentoo Local Security Checks	2017/3/28	2021/1/11	high
99013	GLSA-201703-06：Deluge：遠端任意程式碼執行	Nessus	Gentoo Local Security Checks	2017/3/28	2021/1/11	high
99013	GLSA-201703-06：Deluge：远程任意代码执行	Nessus	Gentoo Local Security Checks	2017/3/28	2021/1/11	high
100658	openSUSE Security Update : deluge (openSUSE-2017-656)	Nessus	SuSE Local Security Checks	2017/6/7	2021/1/19	critical
100278	Debian DSA-3856-1 : deluge - security update	Nessus	Debian Local Security Checks	2017/5/19	2021/1/11	critical
97799	Debian DLA-863-1 : deluge security update	Nessus	Debian Local Security Checks	2017/3/20	2021/1/11	high
97799	Debian DLA-863-1：deluge 安全性更新	Nessus	Debian Local Security Checks	2017/3/20	2021/1/11	high
100278	Debian DSA-3856-1：deluge - 安全性更新	Nessus	Debian Local Security Checks	2017/5/19	2021/1/11	critical
100278	Debian DSA-3856-1：deluge - 安全更新	Nessus	Debian Local Security Checks	2017/5/19	2021/1/11	critical
97799	Debian DLA-863-1：deluge 安全更新	Nessus	Debian Local Security Checks	2017/3/20	2021/1/11	high
100278	Debian DSA-3856-1: deluge - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/19	2021/1/11	critical
100658	openSUSEセキュリティ更新プログラム：deluge（openSUSE-2017-656）	Nessus	SuSE Local Security Checks	2017/6/7	2021/1/19	critical
97799	Debian DLA-863-1: delugeセキュリティ更新	Nessus	Debian Local Security Checks	2017/3/20	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

critical

critical

high

high

critical

critical

high

critical

critical

high