This update for avahi fixes the following issues :

CVE-2021-26720: drop privileges when invoking avahi-daemon-check-dns.sh (bsc#1180827)

Update avahi-daemon-check-dns.sh from Debian. Our previous version relied on ifconfig, route, and init.d.

Add sudo to requires: used to drop privileges.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

远程 Debian 9 主机上安装的多个程序包受到 dla-3047 公告中提及的多个漏洞影响。

  - 在 Debian avahi 程序包 0.8-4 及之前的所有版本中，应用程序允许以根用户身份通过 /etc/network/if-up.d/avahi-daemon 执行 avahi-daemon-check-dns.sh，本地攻击者可借此造成拒绝服务，或通过对 /run/avahi-daemon 下的文件发动符号链接攻击来创建任意空文件。注意：这仅影响 Debian GNU/Linux（由 SUSE 间接使用）的打包，不影响上游 Avahi 产品。(CVE-2021-26720)

  - 在 avahi 0.6 至 0.8 版本中发现一个缺陷。client_work 函数中未正确处理用于在 avahi Unix 套接字上发出客户端连接终止信号的事件，本地攻击者可利用此漏洞触发无限循环。此漏洞对 avahi 服务的可用性威胁最大，在触发此缺陷后，avahi 服务会失去响应。
    (CVE-2021-3468)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

avahi用のこの更新プログラムでは、以下の問題が修正されています：

CVE-2021-26720：avahi-daemon-check-dns.shを呼び出す際の権限のドロップ（bsc#1180827）

avahi-daemon-check-dns.shをDebianから更新します。以前のバージョンは、ifconfig、route、およびinit.dに依存していました。

sudoを権限のドロップに使用されるrequires:に追加します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

遠端 Debian 9 主機上安裝的多個套件受到 dla-3047 公告中提及的多個弱點影響。

  - 在 Debian avahi 套件 0.8-4 和之前的所有版本中，應用程式允許以根使用者身份透過 /etc/network/if-up.d/avahi-daemon 執行 avahi-daemon-check-dns.sh，本機攻擊者可藉此造成拒絕服務，或透過對 /run/avahi-daemon 底下的檔案發動符號連結攻擊來建立任意空白檔案。注意：這只會影響 Debian GNU/Linux (由 SUSE 間接使用) 的封裝，而不影響上游 Avahi 產品。(CVE-2021-26720)

  - 在 0.6 到 0.8 版本的 avahi 中發現一個缺陷。在 client_work 函式中未正確處理用於針對 avahi Unix 通訊端上用戶端連線終止發出訊號的事件，進而允許本機攻擊者觸發無限迴圈。此弱點對 avahi 服務可用性的威脅最大，其在觸發此缺陷後會停止回應。
    (CVE-2021-3468)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

This update for avahi fixes the following issues :

CVE-2021-3468: avoid infinite loop by handling HUP event in client_work (bsc#1184521).

CVE-2021-26720: drop privileges when invoking avahi-daemon-check-dns.sh (bsc#1180827)

Update avahi-daemon-check-dns.sh from Debian. Our previous version relied on ifconfig, route, and init.d.

Add sudo to requires: used to drop privileges.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1845-1 advisory.

  - avahi-daemon-check-dns.sh in the Debian avahi package through 0.8-4 is executed as root via     /etc/network/if-up.d/avahi-daemon, and allows a local attacker to cause a denial of service or create     arbitrary empty files via a symlink attack on files under /run/avahi-daemon. NOTE: this only affects the     packaging for Debian GNU/Linux (used indirectly by SUSE), not the upstream Avahi product. (CVE-2021-26720)

  - A flaw was found in avahi in versions 0.6 up to 0.8. The event used to signal the termination of the     client connection on the avahi Unix socket is not correctly handled in the client_work function, allowing     a local attacker to trigger an infinite loop. The highest threat from this vulnerability is to the     availability of the avahi service, which becomes unresponsive after this flaw is triggered.
    (CVE-2021-3468)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3047 advisory.

  - avahi-daemon-check-dns.sh in the Debian avahi package through 0.8-4 is executed as root via     /etc/network/if-up.d/avahi-daemon, and allows a local attacker to cause a denial of service or create     arbitrary empty files via a symlink attack on files under /run/avahi-daemon. NOTE: this only affects the     packaging for Debian GNU/Linux (used indirectly by SUSE), not the upstream Avahi product. (CVE-2021-26720)

  - A flaw was found in avahi in versions 0.6 up to 0.8. The event used to signal the termination of the     client connection on the avahi Unix socket is not correctly handled in the client_work function, allowing     a local attacker to trigger an infinite loop. The highest threat from this vulnerability is to the     availability of the avahi service, which becomes unresponsive after this flaw is triggered.
    (CVE-2021-3468)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for avahi fixes the following issues :

CVE-2021-26720: drop privileges when invoking avahi-daemon-check-dns.sh (bsc#1180827)

Add sudo to requires: used to drop privileges.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for avahi fixes the following issues :

  - CVE-2021-26720: drop privileges when invoking     avahi-daemon-check-dns.sh (bsc#1180827)

  - Update avahi-daemon-check-dns.sh from Debian. Our     previous version relied on ifconfig, route, and init.d.

  - Add sudo to requires: used to drop privileges.

This update was imported from the SUSE:SLE-15-SP1:Update update project.

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1845-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.8-4までの Debian avahi パッケージの avahi-daemon-check-dns.sh が /etc/network/if-up.d/avahi-daemon を介して root として実行され、ローカルの攻撃者がサービス拒否または /run/avahi-daemon 下のファイルに対するシンボリックリンク攻撃により、任意の空のファイルを作成します。注: これは Debian GNU / Linux のパッケージング (SUSE によって間接的に使用される) にのみ影響し、上流の Avahi 製品には影響しません。 (CVE-2021-26720)

  - バージョン 0.6〜0.8 の avahi に欠陥が見つかりました。avahi Unixソケット上のクライアント接続の終了を通知するために使用されるイベントがclient_work関数で適切に処理されていません。これにより、ローカルの攻撃者が無限ループを発生させる可能性があります。この脆弱性による最大の脅威は、avahiサービスの可用性であり、この欠陥がトリガーされた後、応答しなくなります。
    (CVE-2021-3468)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

avahi用のこの更新プログラムでは、以下の問題が修正されています:

CVE-2021-3468: client_work で HUP イベントを処理することにより、無限ループを回避します (bsc#1184521)。

CVE-2021-26720: avahi-daemon-check-dns.shを呼び出す際の権限のドロップ(bsc#1180827)

avahi-daemon-check-dns.shをDebianから更新します。以前のバージョンは、ifconfig、route、およびinit.dに依存していました。

sudoを権限のドロップに使用されるrequires:に追加します。

注意:Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenable では、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

avahi用のこの更新プログラムでは、以下の問題が修正されています：

CVE-2021-26720：avahi-daemon-check-dns.shを呼び出す際の権限のドロップ（bsc#1180827）

sudoを権限のドロップに使用されるrequires:に追加します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

avahi用のこの更新プログラムでは、以下の問題が修正されています：

  - CVE-2021-26720：avahi-daemon-check-dns.shを呼び出す際の権限のドロップ（bsc#1180827）

  - avahi-daemon-check-dns.shをDebianから更新します。以前のバージョンは、ifconfig、route、およびinit.dに依存していました。

  - sudoを権限のドロップに使用されるrequires:に追加します。

この更新はSUSEからインポートされました：SLE-15-SP1: 更新プロジェクトを更新します。

リモートの Debian 9 ホストには、dla-3047 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.8-4までの Debian avahi パッケージの avahi-daemon-check-dns.sh が /etc/network/if-up.d/avahi-daemon を介して root として実行され、ローカルの攻撃者がサービス拒否または /run/avahi-daemon 下のファイルに対するシンボリックリンク攻撃により、任意の空のファイルを作成します。注：これは Debian GNU / Linux のパッケージング (SUSE によって間接的に使用される) にのみ影響し、上流の Avahi 製品には影響しません。 (CVE-2021-26720)

  - バージョン 0.6〜0.8 の avahi に欠陥が見つかりました。avahi Unixソケット上のクライアント接続の終了を通知するために使用されるイベントがclient_work関数で適切に処理されていません。これにより、ローカルの攻撃者が無限ループを発生させる可能性があります。この脆弱性による最大の脅威は、avahiサービスの可用性であり、この欠陥がトリガーされた後、応答しなくなります。
    (CVE-2021-3468)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
146794	SUSE SLED15 / SLES15 Security Update : avahi (SUSE-SU-2021:0551-1)	Nessus	SuSE Local Security Checks	2021/2/24	2021/3/1	high
161940	Debian DLA-3047-1：avahi - LTS 安全更新	Nessus	Debian Local Security Checks	2022/6/8	2022/6/8	high
146794	SUSE SLED15 / SLES15セキュリティ更新プログラム：avahi（SUSE-SU-2021:0551-1）	Nessus	SuSE Local Security Checks	2021/2/24	2021/3/1	high
161940	Debian DLA-3047-1：avahi - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/6/8	2022/6/8	high
150267	SUSE SLES15 Security Update : avahi (SUSE-SU-2021:1845-1)	Nessus	SuSE Local Security Checks	2021/6/4	2023/12/27	high
151724	openSUSE 15 Security Update : avahi (openSUSE-SU-2021:1845-1)	Nessus	SuSE Local Security Checks	2021/7/16	2021/7/16	high
161940	Debian DLA-3047-1 : avahi - LTS security update	Nessus	Debian Local Security Checks	2022/6/8	2022/6/8	high
146797	SUSE SLES12 Security Update : avahi (SUSE-SU-2021:0563-1)	Nessus	SuSE Local Security Checks	2021/2/24	2021/3/1	high
147159	openSUSE Security Update : avahi (openSUSE-2021-370)	Nessus	SuSE Local Security Checks	2021/3/5	2024/1/12	high
151724	openSUSE 15 セキュリティ更新 : avahi(openSUSE-SU-2021:1845-1)	Nessus	SuSE Local Security Checks	2021/7/16	2021/7/16	high
150267	SUSE SLES15 セキュリティ更新プログラム : avahi(SUSE-SU-2021:1845-1)	Nessus	SuSE Local Security Checks	2021/6/4	2023/12/27	high
146797	SUSE SLES12セキュリティ更新プログラム：avahi（SUSE-SU-2021:0563-1）	Nessus	SuSE Local Security Checks	2021/2/24	2021/3/1	high
147159	openSUSEセキュリティ更新プログラム：avahi（openSUSE-2021-370）	Nessus	SuSE Local Security Checks	2021/3/5	2024/1/12	high
161940	Debian DLA-3047-1: avahi - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/6/8	2022/6/8	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high