遠端 Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.10 主機上安裝的多個套件受到 USN-6614-1 公告中提及的一個弱點影響。

  - tag-community-3.5.4 之前的 AMANDA (Advanced Maryland Automatic Network Disk Archiver) 未正確處理 runtar.c 的引數檢查，此弱點不同於 CVE-2022-37705。(CVE-2023-30577)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3681 公告中提及的多個弱點影響。

  - 在 Amanda 3.5.1 中，在 calcsize SUID 二進位檔中發現資訊洩漏弱點。攻擊者可濫用此弱點來瞭解 fs 中的任何位置是否存在目錄。此二進位檔直接使用 `opendir()` 作爲根目錄而不檢查路徑，這讓攻擊者可以提供任意路徑。
    (CVE-2022-37703)

  - 在 Amanda 3.5.1 版中發現一個權限提升缺陷，備份使用者可藉此取得 root 權限。有弱點的元件是 runtar SUID 程式，其為使用攻擊者可控制的特定引數執行 /usr/bin/tar 的包裝函式。此程式未正確處理傳遞給 tar 二進位檔的引數 (它預期引數名稱和值以空格分隔；但是，也支援以等號分隔它們)。(CVE-2022-37705)

  - tag-community-3.5.4 之前的 AMANDA (Advanced Maryland Automatic Network Disk Archiver) 未正確處理 runtar.c 的引數檢查，此弱點不同於 CVE-2022-37705。(CVE-2023-30577)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 amanda 版本低於 2.6.1p2-8.14。因此，會受到 ALAS-2023-1808 公告中所提及的多個弱點影響。

  - 在 Amanda 3.3.1 中發現一個問題。具有備份權限的使用者可輕易入侵用戶端安裝。runtar setuid root 二進位檔未檢查
    --create 後提供的其他引數，這允許使用者以 Root 身分操控命令及執行命令插入。(CVE-2016-10729)

  - tag-community-3.5.4 之前的 AMANDA (Advanced Maryland Automatic Network Disk Archiver) 未正確處理 runtar.c 的引數檢查，此弱點不同於 CVE-2022-37705。(CVE-2023-30577)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 amanda 版本低於 3.3.9-1。因此，會受到 ALAS2-2023-2218 公告中所提及的多個弱點影響。

  - 在 Amanda 3.3.1 中發現一個問題。具有備份權限的使用者可輕易入侵用戶端安裝。runtar setuid root 二進位檔未檢查
    --create 後提供的其他引數，這允許使用者以 Root 身分操控命令及執行命令插入。(CVE-2016-10729)

  - 在 Amanda 3.3.1 中發現一個問題。具有備份權限的使用者可輕易入侵用戶端安裝。Amstar 是一個 Amanda 應用程式 API 指令碼。使用者不應直接執行此指令碼。它使用 star 來備份和還原資料。剖析命令列引數 --star-path 時，它會以 Root 權限執行二進位檔。(CVE-2016-10730)

  - tag-community-3.5.4 之前的 AMANDA (Advanced Maryland Automatic Network Disk Archiver) 未正確處理 runtar.c 的引數檢查，此弱點不同於 CVE-2022-37705。(CVE-2023-30577)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3880 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3880-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 9 月 7 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：amanda 版本：1:3.5.1-7+deb11u1 CVE ID：CVE-2022-37703 CVE-2022-37704 CVE-2022-37705 CVE-2023-30577 Debian 錯誤：1021017 1029829 1055253

    已修正 Amanda 備份系統中的多個弱點。

    CVE-2022-37703

        目錄存在性洩漏

    CVE-2022-37704

        rundump 中的權限提升弱點

    CVE-2022-37705

        runtar 中的權限提升弱點

    CVE-2023-30577

        runtar 中的權限提升弱點

    針對 Debian 11 Bullseye，已在 1:3.5.1-7+deb11u1 版本中修正這些問題。

    建議您升級 amanda 套件。

    如需有關 amanda 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/amanda

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
189777	Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.10：amanda 弱點 (USN-6614-1)	Nessus	Ubuntu Local Security Checks	2024/1/30	2024/8/27	high
186524	Debian DLA-3681-1：amanda - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/12/3	2025/1/22	high
180081	Amazon Linux AMI：amanda (ALAS-2023-1808)	Nessus	Amazon Linux Local Security Checks	2023/8/23	2024/12/11	high
180092	Amazon Linux 2：amanda (ALAS-2023-2218)	Nessus	Amazon Linux Local Security Checks	2023/8/23	2024/12/11	high
206763	Debian dla-3880：amanda-client - 安全性更新	Nessus	Debian Local Security Checks	2024/9/7	2024/9/7	high

偵測

搜尋 Plugin

high

high

high

high

high