遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3553 公告中提及的多個弱點影響。

  - webkitgtk：HTTP Proxy 設定解除匿名化資訊洩漏 (CVE-2019-11070)

  - evince：tiff_document_render() 和 tiff_document_get_thumbnail() 中存在未初始化的記憶體使用 (CVE-2019-11459)

  - gvfs：在 gvfsd 中，daemon/gvfsdaemon.c 的授權不當 (CVE-2019-12795)

  - webkitgtk：存在多個記憶體損毀問題，可導致任意程式碼執行 (CVE-2019-6237、CVE-2019-8571、CVE-2019-8583、CVE-2019-8584、CVE-2019-8586、CVE-2019-8587、CVE-2019-8594、CVE-2019-8595、CVE-2019-8596、CVE-2019-8597、CVE-2019-8601、CVE-2019-8608、CVE-2019-8609、CVE-2019-8610、CVE-2019-8611、CVE-2019-8615、CVE-2019-8619、CVE-2019-8622、CVE-2019-8623、CVE-2019-8666、CVE-2019-8671、CVE-2019-8672、CVE-2019-8673、CVE-2019-8676、CVE-2019-8677、CVE-2019-8679、CVE-2019-8681、CVE-2019-8686、CVE-2019-8687、CVE-2019-8689、CVE-2019-8726、CVE-2019-8735)

  - webkitgtk：處理惡意建構的 Web 內容可導致 URI 偽造 (CVE-2019-6251)

  - webkitgtk：惡意 Web 內容可導致任意程式碼執行 (CVE-2019-8506)

  - webkitgtk：惡意 Web 內容可導致任意程式碼執行 (CVE-2019-8518、CVE-2019-8523、CVE-2019-8524、CVE-2019-8559、CVE-2019-8563)

  - webkitgtk：惡意建構的 Web 內容可導致任意程式碼執行 (CVE-2019-8535、CVE-2019-8536、CVE-2019-8558)

  - webkitgtk：惡意建構的 Web 內容可導致任意 Web 內容 (CVE-2019-8544)

  - webkitgtk：- 超出邊界讀取導致記憶體洩漏 (CVE-2019-8607)

  - webkitgtk：不正確的狀態管理導致通用跨網站指令碼問題 (CVE-2019-8690)

  - webkitgtk：無法刪除瀏覽歷程記錄 (CVE-2019-8768)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Simon McVittie 在 Gnome 虛擬檔案系統 gvfs 中發現一個缺陷。gvfsd 程序在未設定授權規則的情況下開啟私人 D-Bus 伺服器通訊端。本機攻擊者可連線至此伺服器通訊端並發出 D-Bus 方法呼叫。(請注意，伺服器通訊端僅接受單一連線，因此攻擊者將必須在伺服器擁有者之前，先探索伺服器並連線到通訊端。)針對 Debian 8「Jessie」，此問題已在 1.22.2-1+deb8u1 版本中修正。建議您升級 gvfs 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，GVfs 未正確處理 admin 後端。
admin 後端建立或移動的檔案在結束時的所有權資訊可能不正確，與期待相反。此問題僅影響 Ubuntu 18.04 LTS、Ubuntu 18.10 和 Ubuntu 19.04。
(CVE-2019-12447, CVE-2019-12448, CVE-2019-12449)

據發現，GVfs 未正確處理其私密 D-Bus 通訊端上的驗證。本機攻擊者可能會連線至此通訊端並發出 D-Bus 呼叫。(CVE-2019-12795)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2019-3553 公告中提及的多個弱點影響。

  - 在 GNOME Evince 3.32.0 及之前版本中，TIFF 文件後端的 tiff_document_render() 和 tiff_document_get_thumbnail() 函式未處理 TIFFReadRGBAImageOriented() 的錯誤，導致處理特定的 TIFF 影像檔時使用未初始化的記憶體。(CVE-2019-11459)

  - 在 GNOME gvfs 1.38.3 之前版本、1.40.x 的 1.40.2 之前版本以及 1.41.x 的 1.41.3 之前版本中，gvfsd 的 daemon/gvfsdaemon.c 會在未設定授權規則的情況下開啟私有 D-Bus 伺服器通訊端。本機攻擊者可連線至此伺服器通訊端並發出 D-Bus 方法呼叫。(請注意，伺服器通訊端僅接受單一連線，因此攻擊者必須在伺服器擁有者之前，先探索伺服器並連線到通訊端。) (CVE-2019-12795)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 8 的 GNOME 更新。Red Hat 產品安全性團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。GNOME 是 Red Hat Enterprise Linux 的預設桌面環境。安全性修正：* evince：tiff_document_render() 和 tiff_document_get_thumbnail() 中有未初始化記憶體使用情形 (CVE-2019-11459) * gvfs：gvfsd 的 daemon/gvfsdaemon.c 中有不當授權情形 (CVE-2019-12795) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 8.1 版本資訊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
145653	CentOS 8：GNOME (CESA-2019: 3553)	Nessus	CentOS Local Security Checks	2021/1/29	2023/4/25	high
126054	Debian DLA-1827-1：gvfs 安全性更新	Nessus	Debian Local Security Checks	2019/6/20	2024/5/15	high
126598	Ubuntu 16.04 LTS / 18.04 LTS：GVfs 弱點 (USN-4053-1)	Nessus	Ubuntu Local Security Checks	2019/7/10	2023/10/21	high
180839	Oracle Linux 8：GNOME (ELSA-2019-3553)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
130552	RHEL 8：GNOME (RHSA-2019:3553)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/4/28	high

偵測

搜尋 Plugin

high

high

high

high

high