Andrew Bartlett discovered that awl, DAViCal Andrew's Web Libraries, did not properly handle session management: this would allow a malicious user to impersonate other sessions or users.

The remote Ubuntu 20.04 LTS host has a package installed that is affected by a vulnerability as referenced in the USN-4539-1 advisory.

  - An issue was discovered in DAViCal Andrew's Web Libraries (AWL) through 0.60. Session management does not     use a sufficiently hard-to-guess session key. Anyone who can guess the microsecond time (and the     incrementing session_id) can impersonate a session. (CVE-2020-11728)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Following CVEs were reported against the awl source package :

CVE-2020-11728

An issue was discovered in DAViCal Andrew's Web Libraries (AWL) through 0.60. Session management does not use a sufficiently hard-to-guess session key. Anyone who can guess the microsecond time (and the incrementing session_id) can impersonate a session.

CVE-2020-11729

An issue was discovered in DAViCal Andrew's Web Libraries (AWL) through 0.60. Long-term session cookies, uses to provide long-term session continuity, are not generated securely, enabling a brute-force attack that may be successful.

For Debian 8 'Jessie', these problems have been fixed in version 0.55-1+deb8u1.

We recommend that you upgrade your awl packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Andrew Bartlett氏により、DAViCal AndrewのWebライブラリawlにおいて、セッション管理を適切に処理されていないことが検出されました: これにより、悪意のあるユーザーが他のセッションまたはユーザーになりすます可能性がありました。

awlソースパッケージについて次のCVEが報告されました:

CVE-2020-11728

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。セッション管理で、推測が難しいセッションキーが使用されていません。マイクロ秒の時間（およびインクリメントするsession_id）を推測できれば、セッションのなりすましが可能になります。

CVE-2020-11729

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。長期セッション継続性を提供するために使用される長期セッションcookieが安全に生成されず、ブルートフォース攻撃が成功する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン0.55-1+deb8u1で修正されました。

使用しているawlのパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのUbuntu 20.04 LTSホストには、USN-4539-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - DAViCal Andrew's Web Libraries（AWL）0.60以前で問題が発見されました。セッション管理で、推測が難しいセッションキーが使用されていません。マイクロ秒の時間（およびインクリメントするsession_id）を推測できれば、セッションになりすますことができます。（CVE-2020-11728）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

已针对 awl 源程序包报告以下 CVE：

CVE-2020-11728

在 DAViCal Andrew 的 Web Libraries (AWL) 0.60 及之前版本中发现一个问题。会话管理未使用完全无法猜测的会话密钥。只要能够猜出微秒时间（以及递增的 session_id），任何人都可以模拟会话。

CVE-2020-11729

在 DAViCal Andrew 的 Web Libraries (AWL) 0.60 及之前版本中发现一个问题。用于提供长时间会话连续性的长时间会话 cookie 未能安全生成，导致暴力攻击可能取得成功。

对于 Debian 8“Jessie”，已在版本 0.55-1+deb8u1 中修复这些问题。

我们建议您升级 awl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Andrew Bartlett 發現，DAViCal Andrew 的 Web 程式庫 awl 未正確處理工作階段管理：這可允許惡意使用者模擬其他工作階段或使用者。

Andrew Bartlett 发现 awl（DAViCal Andrew 的 Web 库）未正确处理会话管理：这将允许恶意用户假冒其他会话或用户。

已針對 awl 來源套件報告下列 CVE：

CVE-2020-11728

在 DAViCal Andrew's Web Libraries (AWL) 0.60 及之前所有版本中發現一個問題。工作階段管理未使用難以猜測的工作階段金鑰。任何人只要能猜出微秒時間 (及遞增的 session_id)，皆可模擬工作階段。

CVE-2020-11729

在 DAViCal Andrew's Web Libraries (AWL) 0.60 及之前所有版本中發現一個問題。用來提供長期工作階段連續性的長期工作階段 Cookie 並非以安全方式產生，因而可能造成暴力密碼破解攻擊成功。

針對 Debian 8「Jessie」，已在 0.55-1+deb8u1 版本中修正這些問題。

建議您升級 awl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 20.04 LTS 主機已安裝一個套件，該套件會受 USN-4539-1 公告中所提及的弱點影響。

  -在 DAViCal Andrew's Web Libraries (AWL) 0.60 之前的版本中發現一個問題。工作階段管理未使用難以猜測的工作階段金鑰。任何人只要能猜出微秒時間 (及遞增的 session_id)，皆可模擬工作階段。(CVE-2020-11728)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Ubuntu 20.04 LTS 主机上安装的程序包受到 USN-4539-1 公告中提及的漏洞的影响。

  - 在 DAViCal Andrew 的 Web Libraries (AWL) 0.60 及之前版本中发现一个问题。会话管理未使用完全无法猜测的会话密钥。只要能够猜出微秒时间（以及递增的 session_id），任何人都可以模拟会话。(CVE-2020-11728)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

ID	Name	Product	Family	Published	Updated	Severity
135878	Debian DSA-4660-1 : awl - security update	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
140788	Ubuntu 20.04 LTS : AWL vulnerability (USN-4539-1)	Nessus	Ubuntu Local Security Checks	9/25/2020	10/20/2023	high
135721	Debian DLA-2178-1 : awl security update	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
135878	Debian DSA-4660-1 : awl - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135721	Debian DLA-2178-1 : awlセキュリティ更新プログラム	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
140788	Ubuntu 20.04 LTS：AWLの脆弱性（USN-4539-1）	Nessus	Ubuntu Local Security Checks	9/25/2020	10/20/2023	high
135721	Debian DLA-2178-1：awl 安全更新	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
135878	Debian DSA-4660-1：awl - 安全性更新	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135878	Debian DSA-4660-1：awl - 安全更新	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135721	Debian DLA-2178-1：awl 安全性更新	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
140788	Ubuntu 20.04 LTS：AWL 弱點 (USN-4539-1)	Nessus	Ubuntu Local Security Checks	9/25/2020	10/20/2023	high
140788	Ubuntu 20.04 LTS：- AWL 漏洞 (USN-4539-1)	Nessus	Ubuntu Local Security Checks	9/25/2020	10/20/2023	high

Detections

Analytics

Plugins Search

critical

high

critical

critical

critical

high

critical

critical

critical

critical

high

high