The version of rust installed on the remote host is prior to 1.68.2-1. It is, therefore, affected by a vulnerability as referenced in the ALAS2-2024-2426 advisory.

  - Cargo downloads a Rust project's dependencies and compiles the project. Starting in Rust 1.60.0 and prior     to 1.72, Cargo did not escape Cargo feature names when including them in the report generated by `cargo     build --timings`. A malicious package included as a dependency may inject nearly arbitrary HTML here,     potentially leading to cross-site scripting if the report is subsequently uploaded somewhere. The     vulnerability affects users relying on dependencies from git, local paths, or alternative registries.
    Users who solely depend on crates.io are unaffected. Rust 1.60.0 introduced `cargo build --timings`, which     produces a report of how long the different steps of the build process took. It includes lists of Cargo     features for each crate. Prior to Rust 1.72, Cargo feature names were allowed to contain almost any     characters (with some exceptions as used by the feature syntax), but it would produce a future     incompatibility warning about them since Rust 1.49. crates.io is far more stringent about what it     considers a valid feature name and has not allowed such feature names. As the feature names were included     unescaped in the timings report, they could be used to inject Javascript into the page, for example with a     feature name like `features = [<img src='' onerror=alert(0)]`. If this report were subsequently uploaded     to a domain that uses credentials, the injected Javascript could access resources from the website     visitor. This issue was fixed in Rust 1.72 by turning the future incompatibility warning into an error.
    Users should still exercise care in which package they download, by only including trusted dependencies in     their projects. Please note that even with these vulnerabilities fixed, by design Cargo allows arbitrary     code execution at build time thanks to build scripts and procedural macros: a malicious dependency will be     able to cause damage regardless of these vulnerabilities. crates.io has server-side checks preventing this     attack, and there are no packages on crates.io exploiting these vulnerabilities. crates.io users still     need to excercise care in choosing their dependencies though, as remote code execution is allowed by     design there as well. (CVE-2023-40030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 40 host has packages installed that are affected by a vulnerability as referenced in the FEDORA-2023-6f419dc91b advisory.

  - Cargo downloads a Rust project's dependencies and compiles the project. Starting in Rust 1.60.0 and prior     to 1.72, Cargo did not escape Cargo feature names when including them in the report generated by `cargo     build --timings`. A malicious package included as a dependency may inject nearly arbitrary HTML here,     potentially leading to cross-site scripting if the report is subsequently uploaded somewhere. The     vulnerability affects users relying on dependencies from git, local paths, or alternative registries.
    Users who solely depend on crates.io are unaffected. Rust 1.60.0 introduced `cargo build --timings`, which     produces a report of how long the different steps of the build process took. It includes lists of Cargo     features for each crate. Prior to Rust 1.72, Cargo feature names were allowed to contain almost any     characters (with some exceptions as used by the feature syntax), but it would produce a future     incompatibility warning about them since Rust 1.49. crates.io is far more stringent about what it     considers a valid feature name and has not allowed such feature names. As the feature names were included     unescaped in the timings report, they could be used to inject Javascript into the page, for example with a     feature name like `features = [<img src='' onerror=alert(0)]`. If this report were subsequently uploaded     to a domain that uses credentials, the injected Javascript could access resources from the website     visitor. This issue was fixed in Rust 1.72 by turning the future incompatibility warning into an error.
    Users should still exercise care in which package they download, by only including trusted dependencies in     their projects. Please note that even with these vulnerabilities fixed, by design Cargo allows arbitrary     code execution at build time thanks to build scripts and procedural macros: a malicious dependency will be     able to cause damage regardless of these vulnerabilities. crates.io has server-side checks preventing this     attack, and there are no packages on crates.io exploiting these vulnerabilities. crates.io users still     need to excercise care in choosing their dependencies though, as remote code execution is allowed by     design there as well. (CVE-2023-40030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2023:3722-1 advisory.

  - Cargo downloads a Rust project's dependencies and compiles the project. Starting in Rust 1.60.0 and prior     to 1.72, Cargo did not escape Cargo feature names when including them in the report generated by `cargo     build --timings`. A malicious package included as a dependency may inject nearly arbitrary HTML here,     potentially leading to cross-site scripting if the report is subsequently uploaded somewhere. The     vulnerability affects users relying on dependencies from git, local paths, or alternative registries.
    Users who solely depend on crates.io are unaffected. Rust 1.60.0 introduced `cargo build --timings`, which     produces a report of how long the different steps of the build process took. It includes lists of Cargo     features for each crate. Prior to Rust 1.72, Cargo feature names were allowed to contain almost any     characters (with some exceptions as used by the feature syntax), but it would produce a future     incompatibility warning about them since Rust 1.49. crates.io is far more stringent about what it     considers a valid feature name and has not allowed such feature names. As the feature names were included     unescaped in the timings report, they could be used to inject Javascript into the page, for example with a     feature name like `features = [<img src='' onerror=alert(0)]`. If this report were subsequently uploaded     to a domain that uses credentials, the injected Javascript could access resources from the website     visitor. This issue was fixed in Rust 1.72 by turning the future incompatibility warning into an error.
    Users should still exercise care in which package they download, by only including trusted dependencies in     their projects. Please note that even with these vulnerabilities fixed, by design Cargo allows arbitrary     code execution at build time thanks to build scripts and procedural macros: a malicious dependency will be     able to cause damage regardless of these vulnerabilities. crates.io has server-side checks preventing this     attack, and there are no packages on crates.io exploiting these vulnerabilities. crates.io users still     need to excercise care in choosing their dependencies though, as remote code execution is allowed by     design there as well. (CVE-2023-40030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2024-497 advisory.

  - Cargo downloads a Rust project's dependencies and compiles the project. Starting in Rust 1.60.0 and prior     to 1.72, Cargo did not escape Cargo feature names when including them in the report generated by `cargo     build --timings`. A malicious package included as a dependency may inject nearly arbitrary HTML here,     potentially leading to cross-site scripting if the report is subsequently uploaded somewhere. The     vulnerability affects users relying on dependencies from git, local paths, or alternative registries.
    Users who solely depend on crates.io are unaffected. Rust 1.60.0 introduced `cargo build --timings`, which     produces a report of how long the different steps of the build process took. It includes lists of Cargo     features for each crate. Prior to Rust 1.72, Cargo feature names were allowed to contain almost any     characters (with some exceptions as used by the feature syntax), but it would produce a future     incompatibility warning about them since Rust 1.49. crates.io is far more stringent about what it     considers a valid feature name and has not allowed such feature names. As the feature names were included     unescaped in the timings report, they could be used to inject Javascript into the page, for example with a     feature name like `features = [<img src='' onerror=alert(0)]`. If this report were subsequently uploaded     to a domain that uses credentials, the injected Javascript could access resources from the website     visitor. This issue was fixed in Rust 1.72 by turning the future incompatibility warning into an error.
    Users should still exercise care in which package they download, by only including trusted dependencies in     their projects. Please note that even with these vulnerabilities fixed, by design Cargo allows arbitrary     code execution at build time thanks to build scripts and procedural macros: a malicious dependency will be     able to cause damage regardless of these vulnerabilities. crates.io has server-side checks preventing this     attack, and there are no packages on crates.io exploiting these vulnerabilities. crates.io users still     need to excercise care in choosing their dependencies though, as remote code execution is allowed by     design there as well. (CVE-2023-40030)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Fedora 40 ホストには、FEDORA-2023-6f419dc91b のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Cargo は Rust プロジェクトの依存関係をダウンロードし、プロジェクトをコンパイルします。Rust 1.60.0 および 1.72 以前では、Cargo は、「cargo build --timings」 によって生成されたレポートに、Cargo 機能名をエスケープして含めませんでした。依存関係として含まれる悪意のあるパッケージは、ここにほぼ任意の HTML を注入でき、その後レポートがどこかにアップロードされた場合、クロスサイトスクリプティングの原因となる可能性があります。この脆弱性は、git、ローカルパス、または代替のレジストリから依存関係を利用するユーザーに影響を与えます。
    crates.io のみに依存するユーザーは影響を受けません。Rust 1.60.0 は、ビルドプロセスの各ステップにかかった時間のレポートを生成する、「cargo build --timings」を導入しました。これには、各クレートの Cargo 機能のリストが含まれています。Rust 1.72 以前では 、Cargo 機能名にはほぼすべての文字を含めることが許可されていました (機能構文で使用される一部の例外を除く) が、Rust 1.49 以降では、それらについて非互換性の警告が表示されます 。 crates.io は、有効な機能名の扱いに関してはるかに厳格であり、そのような機能名を許可しません。機能名はタイミングレポートでエスケープされない状態で含まれていたため、たとえば「features = [<img src='' onerror=alert(0)]」のような機能名で、ページに Javascript が注入される可能性がありました。その後、認証情報を使用するドメインにこのレポートがアップロードされると、注入された JavaScript がウェブサイトの訪問者のリソースにアクセスする可能性があります。この問題は、将来の非互換性の警告をエラーに変更することにより、Rust 1.72 で修正されました。
    ユーザーは、信頼性のある依存関係のみをプロジェクトに含めることによって、どのパッケージをダウンロードするかについて注意する必要があります。これらの脆弱性が修正されている場合でも、ビルドスクリプトと手続きマクロのせいで、Cargo はビルド時に任意のコード実行を許可しますので、ご注意ください。悪意のある依存関係は、これらの脆弱性に関係なく損害を引き起こす可能性があります。crates.io にはこの攻撃を防ぐためのサーバーサイドのチェックがあり、crates.io でこれらの脆弱性を悪用するパッケージはありません。ただし、crates.io のユーザーは依然として依存関係を選択する際に注意を払う必要があります。これは、crates.io ではリモートコード実行が設計上許可されているためです。(CVE-2023-40030)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:3722-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Cargo は Rust プロジェクトの依存関係をダウンロードし、プロジェクトをコンパイルします。Rust 1.60.0 および 1.72 以前では、Cargo は、「cargo build --timings」 によって生成されたレポートに、Cargo 機能名をエスケープして含めませんでした。依存関係として含まれる悪意のあるパッケージは、ここにほぼ任意の HTML を注入でき、その後レポートがどこかにアップロードされた場合、クロスサイトスクリプティングの原因となる可能性があります。この脆弱性は、git、ローカルパス、または代替のレジストリから依存関係を利用するユーザーに影響を与えます。
    crates.io のみに依存するユーザーは影響を受けません。Rust 1.60.0 は、ビルドプロセスの各ステップにかかった時間のレポートを生成する、「cargo build --timings」を導入しました。これには、各クレートの Cargo 機能のリストが含まれています。Rust 1.72 以前では 、Cargo 機能名にはほぼすべての文字を含めることが許可されていました (機能構文で使用される一部の例外を除く) が、Rust 1.49 以降では、それらについて非互換性の警告が表示されます 。 crates.io は、有効な機能名の扱いに関してはるかに厳格であり、そのような機能名を許可しません。機能名はタイミングレポートでエスケープされない状態で含まれていたため、たとえば「features = [<img src='' onerror=alert(0)]」のような機能名で、ページに Javascript が注入される可能性がありました。その後、認証情報を使用するドメインにこのレポートがアップロードされると、注入された JavaScript がウェブサイトの訪問者のリソースにアクセスする可能性があります。この問題は、将来の非互換性の警告をエラーに変更することにより、Rust 1.72 で修正されました。
    ユーザーは、信頼性のある依存関係のみをプロジェクトに含めることによって、どのパッケージをダウンロードするかについて注意する必要があります。これらの脆弱性が修正されている場合でも、ビルドスクリプトと手続きマクロのせいで、Cargo はビルド時に任意のコード実行を許可しますので、ご注意ください。悪意のある依存関係は、これらの脆弱性に関係なく損害を引き起こす可能性があります。crates.io にはこの攻撃を防ぐためのサーバーサイドのチェックがあり、crates.io でこれらの脆弱性を悪用するパッケージはありません。ただし、crates.io のユーザーは依然として依存関係を選択する際に注意を払う必要があります。これは、crates.io ではリモートコード実行が設計上許可されているためです。(CVE-2023-40030)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている rust のバージョンは、1.68.2-1 より前です。したがって、ALAS2-2024-2426 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Cargo は Rust プロジェクトの依存関係をダウンロードし、プロジェクトをコンパイルします。Rust 1.60.0 および 1.72 以前では、Cargo は、「cargo build --timings」 によって生成されたレポートに、Cargo 機能名をエスケープして含めませんでした。依存関係として含まれる悪意のあるパッケージは、ここにほぼ任意の HTML を注入でき、その後レポートがどこかにアップロードされた場合、クロスサイトスクリプティングの原因となる可能性があります。この脆弱性は、git、ローカルパス、または代替のレジストリから依存関係を利用するユーザーに影響を与えます。
    crates.io のみに依存するユーザーは影響を受けません。Rust 1.60.0 は、ビルドプロセスの各ステップにかかった時間のレポートを生成する、「cargo build --timings」を導入しました。これには、各クレートの Cargo 機能のリストが含まれています。Rust 1.72 以前では 、Cargo 機能名にはほぼすべての文字を含めることが許可されていました (機能構文で使用される一部の例外を除く) が、Rust 1.49 以降では、それらについて非互換性の警告が表示されます 。 crates.io は、有効な機能名の扱いに関してはるかに厳格であり、そのような機能名を許可しません。機能名はタイミングレポートでエスケープされない状態で含まれていたため、たとえば「features = [<img src='' onerror=alert(0)]」のような機能名で、ページに Javascript が注入される可能性がありました。その後、認証情報を使用するドメインにこのレポートがアップロードされると、注入された JavaScript がウェブサイトの訪問者のリソースにアクセスする可能性があります。この問題は、将来の非互換性の警告をエラーに変更することにより、Rust 1.72 で修正されました。
    ユーザーは、信頼性のある依存関係のみをプロジェクトに含めることによって、どのパッケージをダウンロードするかについて注意する必要があります。これらの脆弱性が修正されている場合でも、ビルドスクリプトと手続きマクロのせいで、Cargo はビルド時に任意のコード実行を許可しますので、ご注意ください。悪意のある依存関係は、これらの脆弱性に関係なく損害を引き起こす可能性があります。crates.io にはこの攻撃を防ぐためのサーバーサイドのチェックがあり、crates.io でこれらの脆弱性を悪用するパッケージはありません。ただし、crates.io のユーザーは依然として依存関係を選択する際に注意を払う必要があります。これは、crates.io ではリモートコード実行が設計上許可されているためです。(CVE-2023-40030)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-497 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Cargo は Rust プロジェクトの依存関係をダウンロードし、プロジェクトをコンパイルします。Rust 1.60.0 および 1.72 以前では、Cargo は、「cargo build --timings」 によって生成されたレポートに、Cargo 機能名をエスケープして含めませんでした。依存関係として含まれる悪意のあるパッケージは、ここにほぼ任意の HTML を注入でき、その後レポートがどこかにアップロードされた場合、クロスサイトスクリプティングの原因となる可能性があります。この脆弱性は、git、ローカルパス、または代替のレジストリから依存関係を利用するユーザーに影響を与えます。
    crates.io のみに依存するユーザーは影響を受けません。Rust 1.60.0 は、ビルドプロセスの各ステップにかかった時間のレポートを生成する、「cargo build --timings」を導入しました。これには、各クレートの Cargo 機能のリストが含まれています。Rust 1.72 以前では 、Cargo 機能名にはほぼすべての文字を含めることが許可されていました (機能構文で使用される一部の例外を除く) が、Rust 1.49 以降では、それらについて非互換性の警告が表示されます 。 crates.io は、有効な機能名の扱いに関してはるかに厳格であり、そのような機能名を許可しません。機能名はタイミングレポートでエスケープされない状態で含まれていたため、たとえば「features = [<img src='' onerror=alert(0)]」のような機能名で、ページに Javascript が注入される可能性がありました。その後、認証情報を使用するドメインにこのレポートがアップロードされると、注入された JavaScript がウェブサイトの訪問者のリソースにアクセスする可能性があります。この問題は、将来の非互換性の警告をエラーに変更することにより、Rust 1.72 で修正されました。
    ユーザーは、信頼性のある依存関係のみをプロジェクトに含めることによって、どのパッケージをダウンロードするかについて注意する必要があります。これらの脆弱性が修正されている場合でも、ビルドスクリプトと手続きマクロのせいで、Cargo はビルド時に任意のコード実行を許可しますので、ご注意ください。悪意のある依存関係は、これらの脆弱性に関係なく損害を引き起こす可能性があります。crates.io にはこの攻撃を防ぐためのサーバーサイドのチェックがあり、crates.io でこれらの脆弱性を悪用するパッケージはありません。ただし、crates.io のユーザーは依然として依存関係を選択する際に注意を払う必要があります。これは、crates.io ではリモートコード実行が設計上許可されているためです。(CVE-2023-40030)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端主機上安裝的 rust 版本低於 1.68.2-1。因此，它受到 ALAS2-2024-2426 公告中提及的一個弱點影響。

  - Cargo 會下載 Rust 專案的相依關係並編譯該專案。在 Rust 1.60.0 至 1.72 之前版本中，當 `cargo build --timings` 所產生的報告未包含 Cargo 功能名稱時，Cargo 未逸出這些名稱。作為相依關係包含的惡意套件可在此處插入幾乎任意 HTML，如果隨後在某處上傳報告，這可能會導致跨網站指令碼攻擊。此弱點會影響仰賴 git、本機路徑或替代登錄檔相依性的使用者。
    完全依賴 crates.io 的使用者不受影響。Rust 1.60.0 引入了 `cargo build --timings`，它會產生構建處理程序不同步驟所用時間的報告，其中包含每個 crate 的 Cargo 功能清單。在 Rust 1.72 之前版本中，Cargo 功能名稱可以包含幾乎任何字元 (功能語法所使用的某些例外狀況除外)，但自 Rust 1.49 起，這會產生未來關於這些字元的不相容警告。對於有效功能名稱的認定，crates.io 要嚴格得多，而且不允許此類功能名稱。由於包含在計時報告中的功能名稱未逸出，因此可用於將 Javascript 插入具有 `features = [<img src='' onerror=alert(0)]`這類功能名稱的頁面。如果此報告隨後上傳至使用憑證的網域，則插入的 Javascript 可從網站訪客存取資源。已在 Rust 1.72 中將未來的不相容性警告變成錯誤，藉此修正此問題。
    使用者應謹慎下載套件，只在專案中包含受信任的相依關係。請注意，即使已修正這些弱點，由於建置指令碼和程序巨集，Cargo 仍允許在構建時執行任意程式碼：無論這些弱點如何，惡意相依關係都能夠造成損害。crates.io 已實作伺服器端檢查，以阻止此類攻擊，並且 crates.io 上沒有可刺探這些弱點的套件。但是，crates.io 使用者在選擇其相依關係時仍需謹慎，因為此處的設計也允許攻擊者觸發遠端程式碼執行攻擊。(CVE-2023-40030)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 rust 版本低于 1.68.2-1。因此，该应用程序受到 ALAS2-2024-2426 公告中提及的漏洞影响。

  - Cargo 会下载 Rust 项目的依存关系并编译项目。在 Rust 1.60.0 至 1.72 版中，当 Cargo 将 Cargo 功能名称包含在由“cargo build --timings”生成的报告中时，这些名称不会转义。作为依存关系随附的恶意程序包可能会在此处注入几乎任意的 HTML，如果用户随后在某处上传报告，可能导致跨站脚本问题。此漏洞会影响依赖 git、本地路径或备用注册表的依存关系的用户。
    仅依赖 crates.io 的用户不受影响。Rust 1.60.0 引入了“cargo build --timings”（可生成构建过程的不同步骤所花费时间的报告）。它包含每个 crate 的 Cargo 功能列表。在 Rust 1.72 之前的版本中，Cargo 功能名称可以包含几乎任何字符（功能语法中使用的某些字符除外），但自 1.49 起，Rust 将会产生关于这些字符的未来不兼容警告。crates.io 对于有效功能名称的认定要严格得多，并且不允许使用此类功能名称。由于功能名称以非转义方式包含在时序报告中，因此可用于将 Javascript 注入页面。功能名称可能是以下这样的：“features = [<img src='' onerror=alert(0)]”。如果此报告随后被上传到使用凭据的域，则注入的 Javascript 可访问来自网站访问者的资源。Rust 1.72 通过将未来的不兼容警告转换为错误来修复此问题。
    用户在下载程序包时仍应谨慎行事，仅在其项目中包含受信任的依存关系。请注意，即使修复了这些漏洞，由于构建脚本和程序宏，Cargo 按照设计允许在构建时执行任意代码：无论这些漏洞如何，恶意依存关系都将造成破坏。crates.io 的服务器端检查可防止此攻击，且 crates.io 上不存在利用这些漏洞的程序包。不过，crates.io 用户在选择依存关系时仍需谨慎，因为那里的设计也允许远程代码执行。(CVE-2023-40030)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2024-497 公告中提及的一個弱點影響。

  - Cargo 會下載 Rust 專案的相依關係並編譯該專案。在 Rust 1.60.0 至 1.72 之前版本中，當 `cargo build --timings` 所產生的報告未包含 Cargo 功能名稱時，Cargo 未逸出這些名稱。作為相依關係包含的惡意套件可在此處插入幾乎任意 HTML，如果隨後在某處上傳報告，這可能會導致跨網站指令碼攻擊。此弱點會影響仰賴 git、本機路徑或替代登錄檔相依性的使用者。
    完全依賴 crates.io 的使用者不受影響。Rust 1.60.0 引入了 `cargo build --timings`，它會產生構建處理程序不同步驟所用時間的報告，其中包含每個 crate 的 Cargo 功能清單。在 Rust 1.72 之前版本中，Cargo 功能名稱可以包含幾乎任何字元 (功能語法所使用的某些例外狀況除外)，但自 Rust 1.49 起，這會產生未來關於這些字元的不相容警告。對於有效功能名稱的認定，crates.io 要嚴格得多，而且不允許此類功能名稱。由於包含在計時報告中的功能名稱未逸出，因此可用於將 Javascript 插入具有 `features = [<img src='' onerror=alert(0)]`這類功能名稱的頁面。如果此報告隨後上傳至使用憑證的網域，則插入的 Javascript 可從網站訪客存取資源。已在 Rust 1.72 中將未來的不相容性警告變成錯誤，藉此修正此問題。
    使用者應謹慎下載套件，只在專案中包含受信任的相依關係。請注意，即使已修正這些弱點，由於建置指令碼和程序巨集，Cargo 仍允許在構建時執行任意程式碼：無論這些弱點如何，惡意相依關係都能夠造成損害。crates.io 已實作伺服器端檢查，以阻止此類攻擊，並且 crates.io 上沒有可刺探這些弱點的套件。但是，crates.io 使用者在選擇其相依關係時仍需謹慎，因為此處的設計也允許攻擊者觸發遠端程式碼執行攻擊。(CVE-2023-40030)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该应用程序受到 ALAS2023-2024-497 公告中提及的漏洞影响。

  - Cargo 会下载 Rust 项目的依存关系并编译项目。在 Rust 1.60.0 至 1.72 版中，当 Cargo 将 Cargo 功能名称包含在由“cargo build --timings”生成的报告中时，这些名称不会转义。作为依存关系随附的恶意程序包可能会在此处注入几乎任意的 HTML，如果用户随后在某处上传报告，可能导致跨站脚本问题。此漏洞会影响依赖 git、本地路径或备用注册表的依存关系的用户。
    仅依赖 crates.io 的用户不受影响。Rust 1.60.0 引入了“cargo build --timings”（可生成构建过程的不同步骤所花费时间的报告）。它包含每个 crate 的 Cargo 功能列表。在 Rust 1.72 之前的版本中，Cargo 功能名称可以包含几乎任何字符（功能语法中使用的某些字符除外），但自 1.49 起，Rust 将会产生关于这些字符的未来不兼容警告。crates.io 对于有效功能名称的认定要严格得多，并且不允许使用此类功能名称。由于功能名称以非转义方式包含在时序报告中，因此可用于将 Javascript 注入页面。功能名称可能是以下这样的：“features = [<img src='' onerror=alert(0)]”。如果此报告随后被上传到使用凭据的域，则注入的 Javascript 可访问来自网站访问者的资源。Rust 1.72 通过将未来的不兼容警告转换为错误来修复此问题。
    用户在下载程序包时仍应谨慎行事，仅在其项目中包含受信任的依存关系。请注意，即使修复了这些漏洞，由于构建脚本和程序宏，Cargo 按照设计允许在构建时执行任意代码：无论这些漏洞如何，恶意依存关系都将造成破坏。crates.io 的服务器端检查可防止此攻击，且 crates.io 上不存在利用这些漏洞的程序包。不过，crates.io 用户在选择依存关系时仍需谨慎，因为那里的设计也允许远程代码执行。(CVE-2023-40030)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
189337	Amazon Linux 2 : rust (ALAS-2024-2426)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
194627	Fedora 40 : rust-cargo / rust-cargo-c / rust-cargo-credential / etc (2023-6f419dc91b)	Nessus	Fedora Local Security Checks	2024/4/29	2024/4/29	medium
181776	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : rust, rust1.72 (SUSE-SU-2023:3722-1)	Nessus	SuSE Local Security Checks	2023/9/22	2023/9/22	medium
189320	Amazon Linux 2023 : cargo, clippy, rust (ALAS2023-2024-497)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
194627	Fedora 40 : rust-cargo / rust-cargo-c / rust-cargo-credential / etc (2023-6f419dc91b)	Nessus	Fedora Local Security Checks	2024/4/29	2024/4/29	medium
181776	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: rust、rust1.72 (SUSE-SU-2023:3722-1)	Nessus	SuSE Local Security Checks	2023/9/22	2023/9/22	medium
189337	Amazon Linux 2: rust (ALAS-2024-2426)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
189320	Amazon Linux 2023 : cargo, clippy, rust (ALAS2023-2024-497)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
189337	Amazon Linux 2：rust (ALAS-2024-2426)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
189337	Amazon Linux 2：rust (ALAS-2024-2426)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
189320	Amazon Linux 2023：Cargo、clippy、rust (ALAS2023-2024-497)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium
189320	Amazon Linux 2023：cargo、clippy、rust (ALAS2023-2024-497)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/1/23	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium