Rebase to version 0.9.62.4

----

Rebase to version 0.9.62.2

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

バージョン0.9.62.4にリベースします

----

バージョン0.9.62.2にリベースします

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Tim Starling 在 firejail (一個用於限制不受信任之應用程式執行環境的沙箱程式）中發現兩個弱點。

CVE-2020-17367

據報告，firejail 未遵循選項結尾分隔符號 (「-」)，允許可控製沙箱應用程式命令行選項的攻擊者將資料寫入至指定檔案。

CVE-2020-17368

據報告，在透過 --output 或
或 --output-stderr 重新導向輸出時，firejail 會將所有命令行引數串連到傳遞至 shell 的單一字串中。若攻擊者可控製沙箱化應用程式的命令行引數，便可利用此瑕疵執行其他任意命令。

針對 Debian 9「Stretch」，已在 0.9.44.8-2+deb9u1 版本中修正這些問題。

建議您升級 firejail 套件。

如需有關 firejail 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Tim Starling 在 firejail（用于限制不受信任应用程序的运行环境的沙盒程序）中发现两个漏洞。

CVE-2020-17367

报告称，firejail 未遵循选项结束分隔符（“--”），从而允许控制沙盒应用程序命令行选项的攻击者将数据写入指定文件。

CVE-2020-17368

报告称，当通过 --output 或
--output-stderr 重定向输出时，firejail 将所有命令行参数连接成单一字符串，并传送至 shell。控制沙盒应用程序命令行参数的攻击者可利用此缺陷运行任意其他命令。

对于 Debian 9 stretch，已在版本 0.9.44.8-2+deb9u1 中修复这些问题。

我们建议您升级 firejail 程序包。

如需了解 firejail 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Tim Starling discovered two vulnerabilities in firejail, a sandbox program to restrict the running environment of untrusted applications.

CVE-2020-17367

It was reported that firejail does not respect the end-of-options separator ('--'), allowing an attacker with control over the command line options of the sandboxed application, to write data to a specified file.

CVE-2020-17368

It was reported that firejail when redirecting output via --output or
--output-stderr, concatenates all command line arguments into a single string that is passed to a shell. An attacker who has control over the command line arguments of the sandboxed application could take advantage of this flaw to run run arbitrary other commands.

For Debian 9 stretch, these problems have been fixed in version 0.9.44.8-2+deb9u1.

We recommend that you upgrade your firejail packages.

For the detailed security status of firejail please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/firejail

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for firejail fixes the following issues :

firejail 0.9.64.4 is shipped to openSUSE Leap 15.2

  - CVE-2021-26910: Fixed root privilege escalation due to     race condition (boo#1181990)

Update to 0.9.64.4 :

  - disabled overlayfs, pending multiple fixes

  - fixed launch firefox for open url in     telegram-desktop.profile

Update to 0.9.64.2 :

  - allow --tmpfs inside $HOME for unprivileged users

  - --disable-usertmpfs compile time option

  - allow AF_BLUETOOTH via --protocol=bluetooth

  - setup guide for new users: contrib/firejail-welcome.sh

  - implement netns in profiles

  - added nolocal6.net IPv6 network filter

  - new profiles: spectacle, chromium-browser-privacy,     gtk-straw-viewer, gtk-youtube-viewer,     gtk2-youtube-viewer, gtk3-youtube-viewer, straw-viewer,     lutris, dolphin-emu, authenticator-rs, servo, npm,     marker, yarn, lsar, unar, agetpkg, mdr, shotwell, qnapi,     new profiles: guvcview, pkglog, kdiff3, CoyIM.

Update to version 0.9.64 :

  - replaced --nowrap option with --wrap in firemon

  - The blocking action of seccomp filters has been changed     from killing the process to returning EPERM to the     caller. To get the previous behaviour, use
    --seccomp-error-action=kill or syscall:kill syntax when     constructing filters, or override in     /etc/firejail/firejail.config file.

  - Fine-grained D-Bus sandboxing with xdg-dbus-proxy.
    xdg-dbus-proxy must be installed, if not D-Bus access     will be allowed. With this version nodbus is deprecated,     in favor of dbus-user none and dbus-system none and will     be removed in a future version.

  - DHCP client support

  - firecfg only fix dektop-files if started with sudo

  - SELinux labeling support

  - custom 32-bit seccomp filter support

  - restrict $(RUNUSER) in several profiles

  - blacklist shells such as bash in several profiles

  - whitelist globbing

  - mkdir and mkfile support for /run/user directory

  - support ignore for include

  - --include on the command line

  - splitting up media players whitelists in     whitelist-players.inc

  - new condition: HAS_NOSOUND

  - new profiles: gfeeds, firefox-x11, tvbrowser, rtv,     clipgrab, muraster

  - new profiles: gnome-passwordsafe, bibtex, gummi, latex,     mupdf-x11-curl

  - new profiles: pdflatex, tex, wpp, wpspdf, wps, et,     multimc, mupdf-x11

  - new profiles: gnome-hexgl,     com.github.johnfactotum.Foliate, mupdf-gl, mutool

  - new profiles: desktopeditors, impressive, planmaker18,     planmaker18free

  - new profiles: presentations18, presentations18free,     textmaker18, teams

  - new profiles: textmaker18free, xournal,     gnome-screenshot, ripperX

  - new profiles: sound-juicer, com.github.dahenson.agenda,     gnome-pomodoro

  - new profiles: gnome-todo, x2goclient, iagno, kmplayer,     penguin-command

  - new profiles: frogatto, gnome-mines, gnome-nibbles,     lightsoff, warmux

  - new profiles: ts3client_runscript.sh, ferdi, abiword,     four-in-a-row

  - new profiles: gnome-mahjongg, gnome-robots,     gnome-sudoku, gnome-taquin

  - new profiles: gnome-tetravex, blobwars,     gravity-beams-and-evaporating-stars

  - new profiles: hyperrogue, jumpnbump-menu, jumpnbump,     magicor, mindless

  - new profiles: mirrormagic, mrrescue, scorched3d-wrapper,     scorchwentbonkers

  - new profiles: seahorse-adventures, wordwarvi, xbill,     gnome-klotski

  - new profiles: swell-foop, fdns, five-or-more,     steam-runtime

  - new profiles: nicotine, plv, mocp, apostrophe,     quadrapassel, dino-im

  - new profiles: hitori, bijiben, gnote, gnubik, ZeGrapher,     xonotic-sdl-wrapper

  - new profiles: gapplication, openarena_ded,     element-desktop, cawbird

  - new profiles: freetube, strawberry, jitsi-meet-desktop

  - new profiles: homebank, mattermost-desktop, newsflash,     com.gitlab.newsflash

  - new profiles: sushi, xfce4-screenshooter,     org.gnome.NautilusPreviewer, lyx

  - new profiles: minitube, nuclear, mtpaint,     minecraft-launcher, gnome-calendar

  - new profiles: vmware, git-cola, otter-browser, kazam,     menulibre, musictube

  - new profiles: onboard, fractal, mirage, quaternion,     spectral, man, psi

  - new profiles: smuxi-frontend-gnome, balsa, kube,     trojita, youtube

  - new profiles: youtubemusic-nativefier, cola, dbus-send,     notify-send

  - new profiles: qrencode, ytmdesktop, twitch

  - new profiles: xournalpp, chromium-freeworld, equalx

  - Make the AppArmor profile compatible with AppArmor 3.0     (add missing include <tunables/global>)

Update to 0.9.62.4

  - fix AppArmor broken in the previous release

  - miscellaneous fixes

Update to 0.9.62.2

  - fix CVE-2020-17367

  - fix CVE-2020-17368

Tim Starling氏は、信頼できないアプリケーションの実行環境を制限するサンドボックスプログラムであるfirejailに、2つの脆弱性を発見しました。

CVE-2020-17367

firejailがend-of-optionsセパレーター（'--'）を無視し、攻撃者がサンドボックス化したアプリケーションのコマンドラインオプションをコントロールして、指定されたファイルにデータを書き込む可能性があることが報告されました。

CVE-2020-17368

firejailは、 --output または
--output-stderrを介した出力のリダイレクトによって、すべてのコマンドライン引数を、シェルに渡される単一の文字列に連結することが報告されました。サンドボックス化されたアプリケーションのコマンドライン引数をコントロールできる攻撃者が、この欠陥を利用して任意の他のコマンドを実行する可能性があります。

Debian 9「Stretch」では、これらの問題はバージョン0.9.44.8-2+deb9u1で修正されています。

お使いのfirejailパッケージをアップグレードすることを推奨します。

firejailの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/firejail

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このfirejail用の更新プログラムでは、次の問題が修正されています：

firejail 0.9.64.4はopenSUSE Leap 15.2に出荷されます

  - CVE-2021-26910：競合状態によるルート権限昇格を修正しました（boo#1181990）

0.9.64.4への更新：

  - 複数の修正を保留している、overlayfsを無効にしました

  - telegram-desktop.profileの開いているURLに対するFirefoxの起動を修正しました

0.9.64.2への更新：

  - 権限のないユーザーに対して$HOME内での--tmpfsを許可します

  - --disable-usertmpfs コンパイル時オプション

  - --protocol=bluetoothによるAF_BLUETOOTHを許可します

  - 新規ユーザー向けのセットアップガイド：contrib/firejail-welcome.sh

  - プロファイルにnetnsを実装します

  - nolocal6.net IPv6ネットワークフィルターを追加しました

  - 新しいプロファイル：spectacle、chromium-browser-privacy、gtk-straw-viewer、gtk-youtube-viewer、gtk2-youtube-viewer、gtk3-youtube-viewer、straw-viewer、lutris、dolphin-emu、authenticator-rs、servo、npm、marker、yarn、lsar、unar、agetpkg、mdr、shotwell、qnapi、新しいプロファイル：guvcview、pkglog、kdiff3、CoyIM。

バージョン 0.9.64 に更新してください：

  - firemonの--nowrapオプションを--wrapに置き換えました

  - seccompフィルターのブロックアクションが、プロセスの強制終了から呼び出し側にEPERMを返すように変更されました。以前の動作に戻すには、
    -seccomp-error-action=kill またはsyscall: kill構文をフィルターの構築時に使用するか、/etc/firejail/firejail.configファイルでオーバーライドします。

  - xdg-dbus-proxyによる粒度の細かいD-Busサンドボックス。
    D-Busアクセスが許可されない場合、xdg-dbus-proxyをインストールする必要があります。このバージョンでは、dbus-user noneおよびdbus-system noneを優先してnodbusが廃止され、将来のバージョンで削除されます。

  - DHCPクライアントのサポート

  - firecfgはsudoで起動した場合にのみdektop-filesを修正します

  - SELinuxラベルリングサポート

  - カスタム32ビットseccompフィルターのサポート

  - いくつかのプロファイルで $(RUNUSER)を制限します

  - いくつかのプロファイルでbashなどのシェルをブラックリストに追加します

  - グロビングをホワイトリストに追加します

  - /run/userディレクトリに対するmkdirおよびmkfileのサポート

  - includeに対するignoreをサポートします

  - コマンドラインでの--include

  - whitelist-players.incのメディアプレーヤーのホワイトリストを分割

  - 新しい条件：HAS_NOSOUND

  - 新しいプロファイル：gfeeds、firefox-x11、tvbrowser、rtv、clipgrab、muraster

  - 新しいプロファイル：gnome-passwordsafe、bibtex、gummi、latex、mupdf-x11-curl

  - 新しいプロファイル：pdflatex、tex、wpp、wpspdf、wps、et、multimc、mupdf-x11

  - 新しいプロファイル：gnome-hexgl、com.github.johnfactotum.Foliate、mupdf-gl、mutool

  - 新しいプロファイル：desktopeditors、impressive、planmaker18、planmaker18free

  - 新しいプロファイル：presentations18、presentations18free、textmaker18、teams

  - 新しいプロファイル：textmaker18free、xournal、gnome-screenshot、ripperX

  - 新しいプロファイル：sound-juicer、com.github.dahenson.agenda、gnome-pomodoro

  - 新しいプロファイル：gnome-todo、x2goclient、iagno、kmplayer、penguin-command

  - 新しいプロファイル：frogatto、gnome-mines、gnome-nibbles、lightsoff、warmux

  - 新しいプロファイル：ts3client_runscript.sh、ferdi、abiword、four-in-a-row

  - 新しいプロファイル：gnome-mahjongg、gnome-robots、gnome-sudoku、gnome-taquin

  - 新しいプロファイル：gnome-Tetravex、blobwars、gravity-beams-and-evaporating-stars

  - 新しいプロファイル：hyperrogue、jumpnbump-menu、jumpnbump、magicor、mindless

  - 新しいプロファイル：mirrormagic、mrrescue、scorched3d-wrapper、scorchwentbonkers

  - 新しいプロファイル：seahorse-adventures、wordwarvi、xbill、gnome-klotski

  - 新しいプロファイル：swell-foop、fdns、five-or-more、steam-runtime

  - 新しいプロファイル：nicotine、plv、mocp、apostrophe、quadrapassel、dino-im

  - 新しいプロファイル：hitori、bijiben、gnote、gnubik、ZeGrapher、xonotic-sdl-wrapper

  - 新しいプロファイル：gapplication、openarena_ded、element-desktop、cawbird

  - 新しいプロファイル：freetube、strawberry、jitsi-meet-desktop

  - 新しいプロファイル：homebank、mattermost-desktop、newsflash、com.gitlab.newsflash

  - 新しいプロファイル：sushi、xfce4-screenshooter、org.gnome.NautilusPreviewer、lyx

  - 新しいプロファイル：minitube、nuclear、mtpaint、minecraft-launcher、gnome-calendar

  - 新しいプロファイル：vmware、git-cola、otter-browser、kazam、menulibre、musictube

  - 新しいプロファイル：onboard、fractal、mirage、quaternion、spectral、man、psi

  - 新しいプロファイル：smuxi-frontend-gnome、balsa、kube、trojita、youtube

  - 新しいプロファイル：youtubemusic-nativefier、cola、dbus-send、notify-send

  - 新しいプロファイル：qrencode、ytmdesktop、twitch

  - 新しいプロファイル：xournalpp、chromium-freeworld、equalx

  - AppArmorプロファイルとAppArmor 3.0との互換性を確保します（欠落しているinclude <tunables/global>を追加します）

0.9.62.4への更新

  - 以前のリリースで破損したAppArmorを修正します

  - その他の修正

0.9.62.2への更新

  - CVE-2020-17367を修正します

  - CVE-2020-17368を修正します

Tim Starling 在 firejail (一個用於限制不受信任之應用程式執行環境的沙箱程式）中發現兩個弱點。

  - CVE-2020-17367 據報告，firejail 未遵循選項結尾分隔符號 (「-」)，允許可控製沙箱應用程式命令行選項的攻擊者將資料寫入至指定檔案。

  - CVE-2020-17368 據報告，當透過 --output 或 --output-stderr 重新導向輸出時，firejail 會將所有命令行引數串連到傳遞至 shell 的單一字串中。若攻擊者可控製沙箱應用程式的命令行引數，便可利用此瑕疵執行任意命令。

遠端主機受到 GLSA-202101-02 中所述的弱點影響 (Firejail：多個弱點)

    在 Firejail 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-202101-02 中所述漏洞的影响（Firejail：多个漏洞）

    已在 Firejail 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

Tim Starling 在 firejail（用于限制不受信任应用程序的运行环境的沙盒程序）中发现两个漏洞。

  - CVE-2020-17367 报告称，firejail 未遵循选项结束分隔符（“--”），从而允许控制沙盒应用程序命令行选项的攻击者将数据写入指定文件。

  - CVE-2020-17368 报告称，当通过 --output 或 --output-stderr 重定向输出时，firejail 将所有命令行参数连接成单一字符串，并传送至 shell。控制沙盒应用程序命令行参数的攻击者可利用此缺陷运行任意命令。

Tim Starling氏は、信頼できないアプリケーションの実行環境を制限するサンドボックスプログラムであるfirejailに、2つの脆弱性を発見しました。

  - CVE-2020-17367 firejailがend-of-optionsセパレーター（'--'）を無視し、攻撃者がサンドボックス化したアプリケーションのコマンドラインオプションをコントロールして、指定されたファイルにデータを書き込む可能性があることが報告されました。

  - CVE-2020-17368 --outputまたは--output-stderrを介した出力のリダイレクトで、firejailがすべてのコマンドライン引数を、シェルに渡される単一の文字列に連結することが報告されました。サンドボックス化されたアプリケーションのコマンドライン引数をコントロールできる攻撃者が、この欠陥を利用して任意のコマンドを実行する可能性があります。

このfirejail用の更新プログラムでは、次の問題が修正されています：

  - CVE-2020-17367：end-of-optionsセパレーター（--）が適切に処理されていません（boo#1174986）。

  - CVE-2020-17368：コマンドライン引数をコントロールできる攻撃者が任意のコマンドを実行する可能性があります（boo#1174986）。

The remote host is affected by the vulnerability described in GLSA-202101-02 (Firejail: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Firejail. Please review       the CVE identifiers referenced below for details.
  Impact :

    Please review the referenced CVE identifiers for details.
  Workaround :

    There is no known workaround at this time.

Tim Starling discovered two vulnerabilities in firejail, a sandbox program to restrict the running environment of untrusted applications.

  - CVE-2020-17367     It was reported that firejail does not respect the     end-of-options separator ('--'), allowing an attacker     with control over the command line options of the     sandboxed application, to write data to a specified     file.

  - CVE-2020-17368     It was reported that firejail when redirecting output     via --output or --output-stderr, concatenates all     command line arguments into a single string that is     passed to a shell. An attacker who has control over the     command line arguments of the sandboxed application     could take advantage of this flaw to run arbitrary     commands.

This update for firejail fixes the following issues :

  - CVE-2020-17367: The end-of-options separator -- was not     handled correctly (boo#1174986).

  - CVE-2020-17368: An attacker who has control over the     command line arguments could run arbitrary commands     (boo#1174986).

ID	名稱	產品	系列	已發布	已更新	嚴重性
139881	Fedora 32 : firejail (2020-45fc8559d5)	Nessus	Fedora Local Security Checks	2020/8/27	2024/2/23	critical
139881	Fedora 32：firejail（2020-45fc8559d5）	Nessus	Fedora Local Security Checks	2020/8/27	2024/2/23	critical
139756	Debian DLA-2336-1：firejail 安全性更新	Nessus	Debian Local Security Checks	2020/8/24	2024/2/23	critical
139756	Debian DLA-2336-1：firejail 安全更新	Nessus	Debian Local Security Checks	2020/8/24	2024/2/23	critical
139756	Debian DLA-2336-1 : firejail security update	Nessus	Debian Local Security Checks	2020/8/24	2024/2/23	critical
146524	openSUSE Security Update : firejail (openSUSE-2021-271)	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	critical
139756	Debian DLA-2336-1: firejailセキュリティ更新	Nessus	Debian Local Security Checks	2020/8/24	2024/2/23	critical
146524	openSUSEセキュリティ更新プログラム：firejail（openSUSE-2021-271）	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	critical
139389	Debian DSA-4742-1：firejail - 安全性更新	Nessus	Debian Local Security Checks	2020/8/7	2024/2/26	critical
144817	GLSA-202101-02：Firejail：多個弱點	Nessus	Gentoo Local Security Checks	2021/1/11	2024/1/30	critical
144817	GLSA-202101-02 : Firejail：多个漏洞	Nessus	Gentoo Local Security Checks	2021/1/11	2024/1/30	critical
139389	Debian DSA-4742-1：firejail - 安全更新	Nessus	Debian Local Security Checks	2020/8/7	2024/2/26	critical
139389	Debian DSA-4742-1: firejail - セキュリティ更新	Nessus	Debian Local Security Checks	2020/8/7	2024/2/26	critical
139651	openSUSEセキュリティ更新プログラム：firejail（openSUSE-2020-1208）	Nessus	SuSE Local Security Checks	2020/8/18	2024/2/26	critical
139882	Fedora 31：firejail（2020-80a6d7e7e0）	Nessus	Fedora Local Security Checks	2020/8/27	2024/2/23	critical
144817	GLSA-202101-02 : Firejail: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2021/1/11	2024/1/30	critical
139389	Debian DSA-4742-1 : firejail - security update	Nessus	Debian Local Security Checks	2020/8/7	2024/2/26	critical
139651	openSUSE Security Update : firejail (openSUSE-2020-1208)	Nessus	SuSE Local Security Checks	2020/8/18	2024/2/26	critical
139882	Fedora 31 : firejail (2020-80a6d7e7e0)	Nessus	Fedora Local Security Checks	2020/8/27	2024/2/23	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical