The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-7360-1 advisory.

    It was discovered that Alpine did not use a secure connection under certain circumstances. A remote     attacker could possibly use this issue to leak sensitive information. (CVE-2020-14929)

    It was discovered that Alpine could allow untagged responses from an IMAP server before upgrading to a TLS     connection. A remote attacker could possibly use this issue to leak sensitive information.
    (CVE-2021-38370)

    It was discovered that Alpine could crash when receiving certain SMTP commands. A remote attacker could     possibly use this issue to cause a denial of service. (CVE-2021-46853)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

2.23は、CVE-2020-14929 （#1850048、#1850047）、および新しいバージョン（#1848786）を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

2.23 fixes CVE-2020-14929 (#1850048,#1850047) and new version (#1848786)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS ホストには、USN-7360-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Alpine が特定の状況下で安全な接続を使用しないことがわかりました。リモートの攻撃者がこの問題を悪用して、秘密情報が漏洩する可能性があります。(CVE-2020-14929)

    Alpine が、TLS 接続にアップグレードする前に、IMAP サーバーからのタグなし応答を許可する可能性があることが判明しました。リモートの攻撃者がこの問題を悪用して、秘密情報が漏洩する可能性があります。
    (CVE-2021-38370)

    Alpine が特定の SMTP コマンドを受信すると、クラッシュする可能性があることが判明しました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。(CVE-2021-46853)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

CVE-2020-14929

Alpine 2.23 之前版本在涉及 PREAUTH 的特定情況下傳送 /tls 後，會以無訊息的方式繼續使用不安全的連線，相較關閉連線並讓使用者決定要執行的動作，此行為的安全性更低。

針對 Debian 8「Jessie」，已在 2.11+dfsg1-3+deb8u1 版本中修正此問題。

建議您升級 alpine 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS 主機上安裝的套件受到 USN-7360-1 公告中所提及的多個弱點影響。

    據發現，在某些情況下，Alpine 未使用安全連線。遠端攻擊者可能會利用此問題來造成敏感資訊洩漏。(CVE-2020-14929)

    據發現，在升級至 TLS 連線之前，Alpine 可能允許來自 IMAP 伺服器的未標記回應。遠端攻擊者可能會利用此問題來造成敏感資訊洩漏。
    (CVE-2021-38370)

    據發現，Alpine 在接收特定 SMTP 命令時可能會當機。遠端攻擊者可能利用此問題造成拒絕服務。(CVE-2021-46853)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CVE-2020-14929

2.23 之前的 Alpine 在涉及 PREAUTH 的某些情况下发送 /tls 后继续静默使用不安全的连接，与关闭连接并让用户决定执行哪些操作的替代方式相比，此行为的安全性更低。

对于 Debian 8“Jessie”，已在版本 2.11+dfsg1-3+deb8u1 中修复此问题。

我们建议您升级 alpine 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS 主机上安装的多个程序包受到 USN-7360-1 公告中提及的多个漏洞影响。

    发现在某些情况下，Alpine 不使用安全连接。远程攻击者可能会利用此漏洞泄露敏感信息。(CVE-2020-14929)

    已发现 Alpine 在升级到 TLS 连接之前可允许来自 IMAP 服务器的无标记响应。远程攻击者可能会利用此漏洞泄露敏感信息。
    (CVE-2021-38370)

    发现 Alpine 可能在接收特定 SMTP 命令时崩溃。远程攻击者可能利用此问题造成拒绝服务。(CVE-2021-46853)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

This update for alpine fixes the following issues :

Update to release 2.24

  - A few crash fixes

  - Implementation of XOAUTH2 for Yahoo! Mail.

Update to release 2.23.2

  - Expansion of the configuration screen for XOAUTH2 to     include username, and tenant.

  - Alpine uses the domain in the From: header of a message     to generate a message-id and suppresses all information     about Alpine, version, revision, and time of generation     of the message-id from this header.

  - Alpine does not generate Sender or X-X-Sender by default     by enabling [X] Disable Sender as the default.

  - Alpine does not disclose User Agent by default by     enabling [X] Suppress User Agent by default.

  - When messages are selected, pressing the ';' command to     broaden or narrow a search, now offers the possibility     to completely replace the search, and is almost     equivalent to being a shortcut to 'unselect all     messages, and select again'.

Update to release 2.23

  - Fixes boo#1173281, CVE-2020-14929: Alpine silently     proceeds to use an insecure connection after a /tls is     sent in certain circumstances.

  - Implementation of XOAUTH2 authentication support for     Outlook.

  - Add support for the OAUTHBEARER authentication method in     Gmail.

  - Support for the SASL-IR IMAP extension.

  - Alpine can pass an HTML message to an external web     browser, by using the 'External' command in the     ATTACHMENT INDEX screen.

Update to release 2.22

  - Support for XOAUTH2 authentication method in Gmail. 

  - NTLM authentication support with the ntlm library.

  - Added the '/tls1_3' flag for servers that support it.

  - Add the 'g' option to the select command that works in     IMAP servers that implement the X-GM-EXT-1 capability     (such as the one offered by Gmail).

  - Added '/auth=XYZ' to the way to define a server. This     allows users to select the method to authenticate to an     IMAP, SMTP or POP3 server. Examples are /auth=plain, or     /auth=gssapi, etc.

  - When a message is of type multipart/mixed, and its first     part is multipart/signed, Alpine will include the text     of the original message in a reply message, instead of     including a multipart attachment.

  - Added backward search in the index screen.

  - pico: Add -dict option to Pico, which allows users to     choose a dictionary when spelling.

  - Drop /usr/bin/mailutil, it is not built by default     anymore.

  - Added Quota subcommands for printing, forwarding,     saving, etc.

CVE-2020-14929

Alpine before 2.23 silently proceeds to use an insecure connection after a /tls is sent in certain circumstances involving PREAUTH, which is a less secure behavior than the alternative of closing the connection and letting the user decide what they would like to do.

For Debian 8 'Jessie', this problem has been fixed in version 2.11+dfsg1-3+deb8u1.

We recommend that you upgrade your alpine packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2020-14929

2.23以前のAlpineは、/tlsがPREAUTHなどの特定の状況で送信された後、通知なしで安全でない接続を使用します。これは、接続を終了してユーザーにどうするかを判断させる方法よりも安全性は低くなります。

Debian 8「Jessie」では、この問題はバージョン2.11+dfsg1-3+deb8u1で修正されました。

お使いのalpineパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この alpine 用の更新プログラムでは、次の問題が修正されています。

リリース 2.24 への更新

  - いくつかのクラッシュの修正

  - Yahoo!  - メール用の XOAUTH2 の実装。

リリース 2.23.2 への更新

  - XOAUTH2 の構成画面が拡張され、ユーザー名とテナントが含まれるようになりました。

  - Alpine はメッセージの From: ヘッダーのドメインを使用して、メッセージ ID を生成し、Alpine に関するすべての情報、バージョン、リビジョン、およびこのヘッダーからのメッセージ ID の生成時刻を抑制します。

  - Alpine は、[X] Disable Sender をデフォルトとして有効にしても、デフォルトで Sender または XX-Sender を生成しません。

  - Alpine は、[X] Suppress User Agent をデフォルトで有効化しても、デフォルトでは User Agent を開示しません。

  - メッセージが選択されている場合、「;」コマンドを使用して検索を拡張または狭めることができるようになりました。これにより、検索を完全に置き換える可能性が提供されます。これは、「すべてのメッセージの選択を解除し、再度選択する」ためのショートカットとほぼ同等です。

リリース 2.23 への更新

  - boo#1173281、CVE-2020-14929 を修正: Alpine は、特定の状況で /tls が送信された後、安全でない接続の使用を警告なしで続行します。

  - Outlook 用の XOAUTH2 認証サポートの実装。

  - Gmail の OAUTHBEARER 認証メソッドのサポートを追加します。

  - SASL-IR IMAP 拡張のサポート。

  - Alpine は、ATTACHMENT INDEX 画面の「External」コマンドを使用することで、HTML メッセージを外部の Web ブラウザに渡すことができます。

リリース 2.22 への更新

  - Gmail の XOAUTH2 認証メソッドのサポート。 

  - ntlm ライブラリによる NTLM 認証サポート。

  - これをサポートするサーバーに「/tls1_3」フラグを追加しました。

  - X-GM-EXT-1 機能を実装する IMAP サーバー (Gmail が提供する機能など) で動作する select コマンドに「g」オプションを追加します。

  - サーバーを定義する方法に「/auth=XYZ」を追加しました。これにより、ユーザーは IMAP、SMTP または POP3 サーバーへの認証方法を選択できます。例としては、/auth=plain、/auth=gssapi などがあります。

  - メッセージのタイプが multipart/mixed で、最初の部分が multipart/signed の場合、Alpine は、マルチパートの添付ファイルを含める代わりに、元のメッセージのテキストを返信メッセージに含めます。

  - インデックス画面で後方検索を追加しました。

  - pico: - dict オプションを Pico に追加することにより、ユーザーはスペリング時に辞書を選択できます。

  - /usr/bin/mailutil をドロップします。これは、デフォルトでビルドされなくなりました。

  - 印刷、転送、保存などに Quota サブコマンドを追加しました。

ID	名稱	產品	系列	已發布	已更新	嚴重性
232988	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : Alpine vulnerabilities (USN-7360-1)	Nessus	Ubuntu Local Security Checks	2025/3/20	2025/3/20	high
138111	Fedora 32：alpine（2020-386249cec2）	Nessus	Fedora Local Security Checks	2020/7/6	2024/3/4	high
138111	Fedora 32 : alpine (2020-386249cec2)	Nessus	Fedora Local Security Checks	2020/7/6	2024/3/4	high
232988	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : Alpine の脆弱性 (USN-7360-1)	Nessus	Ubuntu Local Security Checks	2025/3/20	2025/3/20	high
137841	Debian DLA-2254-1：alpine 安全性更新	Nessus	Debian Local Security Checks	2020/6/26	2024/3/5	high
232988	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Alpine 弱點 (USN-7360-1)	Nessus	Ubuntu Local Security Checks	2025/3/20	2025/3/20	high
137841	Debian DLA-2254-1：alpine 安全更新	Nessus	Debian Local Security Checks	2020/6/26	2024/3/5	high
232988	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Alpine 漏洞 (USN-7360-1)	Nessus	Ubuntu Local Security Checks	2025/3/20	2025/3/20	high
149594	openSUSE Security Update : alpine (openSUSE-2021-675)	Nessus	SuSE Local Security Checks	2021/5/18	2024/1/1	high
138122	Fedora 31 : alpine (2020-f822ea9330)	Nessus	Fedora Local Security Checks	2020/7/6	2024/3/4	high
137841	Debian DLA-2254-1 : alpine security update	Nessus	Debian Local Security Checks	2020/6/26	2024/3/5	high
137841	Debian DLA-2254-1: alpineセキュリティ更新	Nessus	Debian Local Security Checks	2020/6/26	2024/3/5	high
138122	Fedora 31：alpine（2020-f822ea9330）	Nessus	Fedora Local Security Checks	2020/7/6	2024/3/4	high
149594	openSUSE セキュリティ更新プログラム: alpine (openSUSE-2021-675)	Nessus	SuSE Local Security Checks	2021/5/18	2024/1/1	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high