According to the version of the junit package installed, the EulerOS installation on the remote host is affected by the following vulnerability :

  - In JUnit4 from version 4.7 and before 4.13.1, the test     rule TemporaryFolder contains a local information     disclosure vulnerability. On Unix like systems, the     system's temporary directory is shared between all     users on that system. Because of this, when files and     directories are written into this directory they are,     by default, readable by other users on that same     system. This vulnerability does not allow other users     to overwrite the contents of these directories or     files. This is purely an information disclosure     vulnerability. This vulnerability impacts you if the     JUnit tests write sensitive information, like API keys     or passwords, into the temporary folder, and the JUnit     tests execute in an environment where the OS has other     untrusted users. Because certain JDK file system APIs     were only added in JDK 1.7, this this fix is dependent     upon the version of the JDK you are using. For Java 1.7     and higher users: this vulnerability is fixed in     4.13.1. For Java 1.6 and lower users: no patch is     available, you must use the workaround below. If you     are unable to patch, or are stuck running on Java 1.6,     specifying the `java.io.tmpdir` system environment     variable to a directory that is exclusively owned by     the executing user will fix this vulnerability. For     more information, including an example of vulnerable     code, see the referenced GitHub Security     Advisory.(CVE-2020-15250)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

junit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。

Debian 9「Stretch」では、この問題はバージョン4.12-4+deb9u1で修正されています。

お使いのjunit4パッケージをアップグレードすることをお勧めします。

junit4の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/junit4

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Redhat Enterprise Linux 8 host has one or more packages installed that are affected by a vulnerability that has been acknowledged by the vendor but will not be patched.

  - junit4: TemporaryFolder is shared between all users across system which could result in information     disclosure (CVE-2020-15250)

Note that Nessus has not tested for this issue but has instead relied on the package manager's report that the package is installed.

遠端 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主機上安裝的一個套件受到 USN-4731-1 公告中所提及的一個弱點影響。

  - 在 JUnit4 4.7 至 4.13.1 版中，測試規則 TemporaryFolder 中存在本機資訊洩漏弱點。在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。因此，將檔案和目錄寫入此目錄時，預設為相同系統上的其他使用者均可讀取這些檔案和目錄。此弱點不允許其他使用者覆寫這些目錄或檔案的內容。這完全是一個資訊洩漏弱點。如果 JUnit 測試將敏感資訊 (例如 API 金鑰或密碼) 寫入暫存資料夾，且在 JOS 測試的執行環境中，OS 有其他未受信任的使用者，則此弱點會影響您。特定 JDK 檔案系統 API 僅在 JDK 1.7 中新增，因此該修正依賴於您使用的 JDK 版本。針對 Java 1.7 和更新版本的使用者：此弱點已在 4.13.1 中修正。針對 Java 1.6 和更早版本的使用者：無可用的修補程式，您必須使用下列因應措施。如果您無法修補，或無法在 Java 1.6 上執行，指定「java.io.tmpdir」系統環境變數至執行使用者專有的目錄，即可修正此弱點。如需詳細資訊，包括易受弱點影響的程式碼範例，請參閱參照的 GitHub 安全性公告。(CVE-2020-15250)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

In junit4 the test rule TemporaryFolder contains a local information disclosure vulnerability. On Unix like systems, the system's temporary directory is shared between all users on that system. Because of this, when files and directories are written into this directory they are, by default, readable by other users on that same system. This vulnerability does not allow other users to overwrite the contents of these directories or files. This is purely an information disclosure vulnerability. This vulnerability impacts you if the JUnit tests write sensitive information, like API keys or passwords, into the temporary folder, and the JUnit tests execute in an environment where the OS has other untrusted users.

For Debian 9 stretch, this problem has been fixed in version 4.12-4+deb9u1.

We recommend that you upgrade your junit4 packages.

For the detailed security status of junit4 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/junit4

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4731-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  バージョン4.7からのJUnit4および4.13.1より前のJUnit4で、テストルールTemporaryFolderにローカル情報漏洩の脆弱性が含まれています。Unixのようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。このため、ファイルとディレクトリがこのディレクトリに書き込まれると、デフォルトでは、同じシステム上の他のユーザーが読み取ることができます。この脆弱性では、他のユーザーがこれらのディレクトリまたはファイルのコンテンツを上書きすることはできません。これは純粋な情報漏洩の脆弱性です。JUnitテストがAPIキーやパスワードなどの機密情報を一時フォルダに書き込み、JUnitテストがOSに他の信頼できないユーザーがある環境で実行される場合、この脆弱性の影響を受けます。特定のJDKファイルシステムAPIがJDK1.7でのみ追加されていたため、この修正は使用しているJDKのバージョンに依存しています。Java1.7およびそれ以降のユーザーの場合：この脆弱性は4.13.1で修正されています。Java1.6およびそれ以前のユーザーの場合：利用可能なパッチがないため、以下の回避策を使用する必要があります。パッチを適用できない場合、またはJava 1.6で実行をスタックしている場合は、システムの環境変数「java.io.tmpdir」を実行ユーザーのみが所有するディレクトリに指定すると、この脆弱性が修正されます。脆弱なコードの例を含む詳細については、参照されているGitHubセキュリティアドバイザリを参照してください。（CVE-2020-15250）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

在 junit4 中，測試規則 TemporaryFolder 中有一個本機資訊洩漏弱點。在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。因此，將檔案和目錄寫入此目錄時，預設為相同系統上的其他使用者均可讀取這些檔案和目錄。此弱點不允許其他使用者覆寫這些目錄或檔案的內容。這完全是一個資訊洩漏弱點。如果 JUnit 測試將敏感資訊 (例如 API 金鑰或密碼) 寫入暫存資料夾，且在 JOS 測試的執行環境中，OS 有其他未受信任的使用者，則此弱點會影響您。

針對 Debian 9 Stretch，已在 4.12-4+deb9u1 版本中修正此問題。

建議您升級 junit4 套件。

如需有關 junit4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/junit4

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 junit4 中，测试规则 TemporaryFolder 中包含本地信息泄露漏洞。在类似 Unix 的系统上，系统的临时目录由该系统上的所有用户共享。因此，文件和目录在写入此目录时，默认可以由同一系统上的其他用户读取。此漏洞会阻止其他用户覆盖这些目录或文件的内容。这纯粹是信息泄露漏洞。如果 JUnit 测试将敏感信息（如 API 密钥或密码）写入临时文件夹，并且 JUnit 测试执行环境中的操作系统具有其他不受信任的用户，则您会受到此漏洞影响。

针对 Debian 9 stretch，此问题已在 4.12-4+deb9u1 版本中修复。

我们建议您升级 junit4 程序包。

如需了解 junit4 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/junit4

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主机上安装的程序包受到 USN-4731-1 公告中提及的一个漏洞的影响。

  - 在 4.7 之后和 4.13.1 之前的 JUnit4 中，测试规则 TemporaryFolder 中包含本地信息泄露漏洞。在类似 Unix 的系统上，系统的临时目录由该系统上的所有用户共享。因此，文件和目录在写入此目录时，默认可以由同一系统上的其他用户读取。此漏洞会阻止其他用户覆盖这些目录或文件的内容。这纯粹是信息泄露漏洞。如果 JUnit 测试将敏感信息（如 API 密钥或密码）写入临时文件夹，并且 JUnit 测试执行环境中的操作系统具有其他不受信任的用户，则您会受到此漏洞影响。由于仅在 JDK 1.7 中添加了某些 JDK 文件系统 API，因此，此修复程序取决于您使用的 JDK 版本。对于 Java 1.7 及更高版本的用户：此漏洞已在 4.13.1 中修复。对于 Java 1.6 及更低版本的用户：没有可用补丁，您必须使用下面的变通方案。如果您无法安装补丁，或在 Java 1.6 上运行时卡滞，在执行用户的专有目录中指定“java.io.tmpdir”系统环境变量将可修复此漏洞。有关更多信息，包括易受攻击的代码示例，请参阅引用的 GitHub 安全公告。(CVE-2020-15250)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS host has a package installed that is affected by a vulnerability as referenced in the USN-4731-1 advisory.

    It was discovered that JUnit 4 contains a local information disclosure vulnerability. An attacker could     possibly use this issue to obtain sensitive information.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
149131	EulerOS 2.0 SP3 : junit (EulerOS-SA-2021-1807)	Nessus	Huawei Local Security Checks	2021/4/30	2024/1/3	medium
142206	Debian DLA-2426-1: junit4セキュリティ更新	Nessus	Debian Local Security Checks	2020/11/2	2024/2/12	medium
199209	RHEL 8 : junit (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/7/12	medium
146384	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：JUnit 4 弱點 (USN-4731-1)	Nessus	Ubuntu Local Security Checks	2021/2/11	2024/8/28	medium
149543	EulerOS 2.0 SP8 : junit (EulerOS-SA-2021-1878)	Nessus	Huawei Local Security Checks	2021/5/18	2024/1/1	medium
153320	EulerOS 2.0 SP2 : junit (EulerOS-SA-2021-2391)	Nessus	Huawei Local Security Checks	2021/9/14	2023/11/30	medium
142206	Debian DLA-2426-1 : junit4 security update	Nessus	Debian Local Security Checks	2020/11/2	2024/2/12	medium
146384	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : JUnit 4の脆弱性（USN-4731-1）	Nessus	Ubuntu Local Security Checks	2021/2/11	2024/8/28	medium
142206	Debian DLA-2426-1：junit4 安全性更新	Nessus	Debian Local Security Checks	2020/11/2	2024/2/12	medium
142206	Debian DLA-2426-1：junit4 安全更新	Nessus	Debian Local Security Checks	2020/11/2	2024/2/12	medium
146384	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：JUnit 4 漏洞 (USN-4731-1)	Nessus	Ubuntu Local Security Checks	2021/2/11	2024/8/28	medium
146384	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : JUnit 4 vulnerability (USN-4731-1)	Nessus	Ubuntu Local Security Checks	2021/2/11	2024/8/28	medium
149617	EulerOS 2.0 SP5 : junit (EulerOS-SA-2021-1903)	Nessus	Huawei Local Security Checks	2021/5/18	2024/1/1	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium