Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 0.1 から 1.3.14 まで、 1.4.0 およびから まで 1.5.12 を含む QOS.CH logback-core による JaninoEventEvaluator における ACE の脆弱性により、Java アプリケーションに、既存の logback 構成ファイルを侵害するか、プログラムされる前に環境変数を注入することで、攻撃者が任意のコードを実行する可能性があります。発見しました。悪意のある logback 構成ファイルにより、攻撃者が JaninoEventEvaluator 拡張を使用して任意のコードを実行する可能性があります。攻撃が成功するには、ユーザーが構成ファイルへの書き込みアクセス権を持っている必要があります。あるいは、攻撃者が、悪意のある構成ファイルを指す悪意のある環境変数を注入する可能性があります。どちらの場合も、攻撃には既存の権限が必要です。 （CVE-2024-12798）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 15 ホストには、SUSE-SU-2025:0072-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-12798: JaninoEventEvaluator による任意のコード実行を修正しました (bsc#1234742)
    - CVE-2024-12801: SaxEventRecorder のサーバーサイドリクエストフォージェリを修正しました (bsc#1234743)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:0072-1 advisory.

    - CVE-2024-12798: Fixed arbitrary code execution via JaninoEventEvaluator (bsc#1234742)
    - CVE-2024-12801: Fixed Server-Side Request Forgery in SaxEventRecorder (bsc#1234743)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ACE vulnerability in JaninoEventEvaluator by QOS.CH logback-core upto including version 0.1 to 1.3.14 and     1.4.0 to 1.5.12 in Java applications allows attacker to execute arbitrary code by compromising an existing     logback configuration file or by injecting an environment variable before program execution. Malicious     logback configuration files can allow the attacker to execute arbitrary code using the     JaninoEventEvaluator extension. A successful attack requires the user to have write access to a     configuration file. Alternatively, the attacker could inject a malicious environment variable pointing to     a malicious configuration file. In both cases, the attack requires existing privilege. (CVE-2024-12798)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Java 應用程式中，QOS.CH logback-core 最高版本 (包括 0.1 至 1.3.14 和 1.4.0 至 1.5.12 版在內) 的 JaninoEventEvaluator 中的 ACE 弱點允許攻擊者入侵現有 logback 設定檔，或在程式前插入環境變數，藉此執行任意程式碼執行。惡意的 logback 設定檔可允許攻擊者使用 JaninoEventEvaluator 延伸模組執行任意程式碼。若要成功攻擊，使用者必須具有設定檔的寫入存取權。或者，攻擊者可插入指向惡意設定檔的惡意環境變數。在這兩種情況下，攻擊都需要現有的權限。 (CVE-2024-12798)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - JaninoEventEvaluator 中 QOS.CH logback-core 至 版本（包括 Java 应用程序中的版本 0.1 至 1.3.14 以及 1.4.0 至 1.5.12 的 ACE 漏洞允许攻击者通过危害现有 logback 配置文件或通过在程序之前注入环境变量来执行任意代码执行。恶意的 logback 配置文件可允许攻击者使用 JaninoEventEvaluator 扩展执行任意代码。成功攻击的前提是用户必须具有配置文件的写入权限。或者，攻击者可注入指向恶意配置文件的恶意环境变量。在这两种情况下，攻击都需要现有权限。 (CVE-2024-12798)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
228153	Linux Distros のパッチ未適用の脆弱性: CVE-2024-12798	Nessus	Misc.	2025/3/5	2025/3/10	medium
213971	openSUSE 15 セキュリティ更新 : logback (SUSE-SU-2025:0072-1)	Nessus	SuSE Local Security Checks	2025/1/11	2025/1/11	medium
213971	openSUSE 15 Security Update : logback (SUSE-SU-2025:0072-1)	Nessus	SuSE Local Security Checks	2025/1/11	2025/1/11	medium
228153	Linux Distros Unpatched Vulnerability : CVE-2024-12798	Nessus	Misc.	2025/3/5	2025/3/10	medium
228153	Linux Distros 未修補弱點：CVE-2024-12798	Nessus	Misc.	2025/3/5	2025/3/10	medium
228153	Linux Distros 未修补的漏洞: CVE-2024-12798	Nessus	Misc.	2025/3/5	2025/3/10	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium