Andrew Bartlett discovered that awl, DAViCal Andrew's Web Libraries, did not properly handle session management: this would allow a malicious user to impersonate other sessions or users.

Following CVEs were reported against the awl source package :

CVE-2020-11728

An issue was discovered in DAViCal Andrew's Web Libraries (AWL) through 0.60. Session management does not use a sufficiently hard-to-guess session key. Anyone who can guess the microsecond time (and the incrementing session_id) can impersonate a session.

CVE-2020-11729

An issue was discovered in DAViCal Andrew's Web Libraries (AWL) through 0.60. Long-term session cookies, uses to provide long-term session continuity, are not generated securely, enabling a brute-force attack that may be successful.

For Debian 8 'Jessie', these problems have been fixed in version 0.55-1+deb8u1.

We recommend that you upgrade your awl packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Andrew Bartlett氏により、DAViCal AndrewのWebライブラリawlにおいて、セッション管理を適切に処理されていないことが検出されました: これにより、悪意のあるユーザーが他のセッションまたはユーザーになりすます可能性がありました。

awlソースパッケージについて次のCVEが報告されました:

CVE-2020-11728

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。セッション管理で、推測が難しいセッションキーが使用されていません。マイクロ秒の時間（およびインクリメントするsession_id）を推測できれば、セッションのなりすましが可能になります。

CVE-2020-11729

DAViCal AndrewのWeb Libraries（AWL）（0.60まで）で問題が検出されました。長期セッション継続性を提供するために使用される長期セッションcookieが安全に生成されず、ブルートフォース攻撃が成功する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン0.55-1+deb8u1で修正されました。

使用しているawlのパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

已针对 awl 源程序包报告以下 CVE：

CVE-2020-11728

在 DAViCal Andrew 的 Web Libraries (AWL) 0.60 及之前版本中发现一个问题。会话管理未使用完全无法猜测的会话密钥。只要能够猜出微秒时间（以及递增的 session_id），任何人都可以模拟会话。

CVE-2020-11729

在 DAViCal Andrew 的 Web Libraries (AWL) 0.60 及之前版本中发现一个问题。用于提供长时间会话连续性的长时间会话 cookie 未能安全生成，导致暴力攻击可能取得成功。

对于 Debian 8“Jessie”，已在版本 0.55-1+deb8u1 中修复这些问题。

我们建议您升级 awl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Andrew Bartlett 發現，DAViCal Andrew 的 Web 程式庫 awl 未正確處理工作階段管理：這可允許惡意使用者模擬其他工作階段或使用者。

Andrew Bartlett 发现 awl（DAViCal Andrew 的 Web 库）未正确处理会话管理：这将允许恶意用户假冒其他会话或用户。

已針對 awl 來源套件報告下列 CVE：

CVE-2020-11728

在 DAViCal Andrew's Web Libraries (AWL) 0.60 及之前所有版本中發現一個問題。工作階段管理未使用難以猜測的工作階段金鑰。任何人只要能猜出微秒時間 (及遞增的 session_id)，皆可模擬工作階段。

CVE-2020-11729

在 DAViCal Andrew's Web Libraries (AWL) 0.60 及之前所有版本中發現一個問題。用來提供長期工作階段連續性的長期工作階段 Cookie 並非以安全方式產生，因而可能造成暴力密碼破解攻擊成功。

針對 Debian 8「Jessie」，已在 0.55-1+deb8u1 版本中修正這些問題。

建議您升級 awl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	Name	Product	Family	Published	Updated	Severity
135878	Debian DSA-4660-1 : awl - security update	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135721	Debian DLA-2178-1 : awl security update	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
135878	Debian DSA-4660-1 : awl - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135721	Debian DLA-2178-1 : awlセキュリティ更新プログラム	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
135721	Debian DLA-2178-1：awl 安全更新	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical
135878	Debian DSA-4660-1：awl - 安全性更新	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135878	Debian DSA-4660-1：awl - 安全更新	Nessus	Debian Local Security Checks	4/22/2020	3/15/2024	critical
135721	Debian DLA-2178-1：awl 安全性更新	Nessus	Debian Local Security Checks	4/20/2020	3/15/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical