Two vulnerabilities have been discovered in packagekit, a package management service.

CVE-2020-16121

Vaisha Bernard discovered that PackageKit incorrectly handled certain methods. A local attacker could use this issue to learn the MIME type of any file on the system.

CVE-2020-16122

Sami Niemim&auml;ki discovered that PackageKit incorrectly handled local deb packages. A local user could possibly use this issue to install untrusted packages, contrary to expectations.

For Debian 9 stretch, these problems have been fixed in version 1.1.5-2+deb9u2.

We recommend that you upgrade your packagekit packages.

For the detailed security status of packagekit please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/packagekit

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4538-1 advisory.

    Vaisha Bernard discovered that PackageKit incorrectly handled certain methods. A local attacker could use     this issue to learn the MIME type of any file on the system. (CVE-2020-16121)

    Sami Niemimki discovered that PackageKit incorrectly handled local deb packages. A local user could     possibly use this issue to install untrusted packages, contrary to expectations. (CVE-2020-16122)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

パッケージ管理サービスであるpackagekitパッケージに、2 つの脆弱性が発見されました。

CVE-2020-16121

Vaisha Bernard氏は、PackageKitで特定のメソッドが不適切に処理されることを発見しました。ローカルの攻撃者がこの問題を利用して、システム上の任意のファイルのMIMEタイプを知る可能性があります。

CVE-2020-16122

Sami Niemimäki氏は、PackageKitがローカルのdebパッケージを不適切に処理していることを発見しました。予想に反して、ローカルユーザーがこの問題を利用して、信頼できないパッケージをインストールする可能性があります。

Debian 9「Stretch」では、これらの問題はバージョン1.1.5-2+deb9u2で修正されています。

お使いのpackagekitパッケージをアップグレードすることを推奨します。

packagekitの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/packagekit

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS ホストには、USN-4538-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - PackageKit は、権限のない呼び出し元に詳細なエラーメッセージを提供し、ファイルの存在や、ユーザーが単独では判断できないファイルの MIME タイプに関する情報を漏洩させていました。(CVE-2020-16121)

  - PackageKit の apt バックエンドは、すべてのローカル deb を信頼できるものとして誤って処理していました。apt セキュリティモデルは、個々のファイルのコンテンツではなく、リポジトリの信頼に基づいています。PolicyKit ルールが構成されているサイトでは、これにより、ユーザーが悪意のあるパッケージをインストールする可能性があります。(CVE-2020-16122)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

在套件管理服務 packagekit 中發現兩個弱點。

CVE-2020-16121

Vaisha Bernard 發現，PackageKit 未正確處理某些方法。本機攻擊者可利用此問題獲知系統上任何檔案的 MIME 類型。

CVE-2020-16122

SamiNiemimäki 發現，PackageKit 未正確處理本機 deb 套件。本機使用者可能利用此問題安裝不受信任的套件，這與預期行為相反。

針對 Debian 9 Stretch，已在 1.1.5-2+deb9u2 版本中修正這些問題。

建議您升級 packagekit 套件。

如需有關 packagekit 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/packagekit

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS 主机上安装的程序包受到 USN-4538-1 公告中提及的多个漏洞的影响。

  - PackageKit 向非特权调用者提供了详细的错误消息，这些消息暴露了有关用户无法自行确定的文件存在和文件 mime 类型的信息。 (CVE-2020-16121)

  - PackageKit 的 apt 后端错误地将所有本地 deb 视为可信。apt 安全模型基于存储库信任，而不是单个文件的内容。在配置了 PolicyKit 规则的站点上，这可能允许用户安装恶意程序包。 (CVE-2020-16122)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

已在程序包管理服务 packagekit 中发现两个漏洞。

CVE-2020-16121

Vaisha Bernard 发现 PackageKit 未能正确处理某些方法。本地攻击者可利用此问题了解系统上任何文件的 MIME 类型。

CVE-2020-16122

Sami Niemimäki 发现 PackageKit 未能正确处理本地 deb 程序包。与预期相反，本地用户可能会利用此问题来安装不受信任的程序包。

针对 Debian 9 stretch，这些问题已在 1.1.5-2+deb9u2 版本中修复。

我们建议您升级 packagekit 程序包。

如需了解 packagekit 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/packagekit

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS 主機上安裝的套件受到 USN-4538-1 公告中所提及的多個弱點影響。

  - PackageKit 會向無權限的呼叫者提供詳細的錯誤訊息，這些訊息會洩漏使用者無法自行判斷的檔案存在與檔案 mime 類型相關資訊。 (CVE-2020-16121)

  - PackageKit 的 apt 後端錯誤地將所有本機 deb 視為受信任。apt 安全性模型是以存放庫信任為基礎，而非個別檔案的內容。在已設定 PolicyKit 規則的網站上，這可能允許使用者安裝惡意套件。(CVE-2020-16122)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
141291	Debian DLA-2399-1 : packagekit security update	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	high
183597	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : PackageKit vulnerabilities (USN-4538-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/29	high
141291	Debian DLA-2399-1: packagekitセキュリティ更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	high
183597	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : PackageKit の脆弱性 (USN-4538-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/29	high
141291	Debian DLA-2399-1：packagekit 安全性更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	high
183597	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：PackageKit 漏洞 (USN-4538-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/29	high
141291	Debian DLA-2399-1：packagekit 安全更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	high
183597	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：PackageKit 弱點 (USN-4538-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high