In haml, when using user input to perform tasks on the server, characters like < > ' ' must be escaped properly. In this case, the ' character was missed. An attacker can manipulate the input to introduce additional attributes, potentially executing code.

For Debian 8 'Jessie', this problem has been fixed in version 4.0.5-2+deb8u1.

We recommend that you upgrade your ruby-haml packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートの Debian 9 ホストには、dla-2864 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン 5.0.0.beta.2 より前の haml バージョンでは、 ユーザー入力を使用してサーバー上でタスクを実行する際には、 < > 」などの文字を適切にエスケープする必要があります。この場合、「文字が欠落していました。攻撃者が入力を操作して属性を追加し、コードを実行する可能性があります。
    (CVE-2017-1002201)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

hamlにおいて、ユーザー入力を使用してサーバー上でタスクを実行する際には、< >' 'などの文字を適切にエスケープする必要があります。この場合、'文字が欠落していました。攻撃者が入力を操作して属性を追加し、コードを実行する可能性があります。

Debian 8「Jessie」では、この問題はバージョン4.0.5-2+deb8u1で修正されました。

お使いのruby-hamlのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Debian 9 host has a package installed that is affected by a vulnerability as referenced in the dla-2864 advisory.

  - In haml versions prior to version 5.0.0.beta.2, when using user input to perform tasks on the server,     characters like < >  ' must be escaped properly. In this case, the ' character was missed. An attacker     can manipulate the input to introduce additional attributes, potentially executing code.
    (CVE-2017-1002201)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote host is affected by the vulnerability described in GLSA-202007-27 (Haml: Arbitrary code execution)

    It was discovered that Haml was not correctly filtering out special       characters which may be used for attributes.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the process or cause a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

在 haml 中，使用使用者輸入在伺服器上執行工作時，必須正確逸出 < > ' ' 等字元。在此情況下，會遺漏 ' 字元。攻擊者可操控輸入以引入其他屬性，進而可能執行程式碼。

針對 Debian 8「Jessie」，已在 4.0.5-2+deb8u1 版本中修正此問題。

建議您升級  ruby-haml 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 haml 中，通过用户输入在服务器上执行任务时，必须正确转义 < > ' ' 等字符。在此情况下，缺少 ' 字符。攻击者可操纵输入引入其他属性，进而可能执行代码。

对于 Debian 8“Jessie”，此问题已在版本 4.0.5-2+deb8u1 中修复。

我们建议您升级 ruby-haml 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端 Debian 9 主機上安裝的套件受 dla-2864 公告中提及的一個弱點影響。

  - 在 5.0.0.beta.2 版之前的 haml 中，當透過使用者輸入在伺服器上執行工作時，必須正確逸出「< > '」等字元。在此情況下，會遺漏 ' 字元。攻擊者可操控輸入以引入其他屬性，進而可能執行程式碼。
    (CVE-2017-1002201)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202007-27 中所述的弱點影響 (Haml：任意程式碼執行)

    據發現，Haml 未正確篩選出可用於屬性的特殊字元。
  影響：

    遠端攻擊者可能會以處理程序的權限執行任意程式碼，或是造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-202007-27 中所述漏洞的影响（Haml：任意代码执行）

    发现 Haml 未正确过滤可能用于属性的特殊字符。
  影响：

    远程攻击者可能以进程权限执行任意代码，或者造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

远程 Debian 9 主机上安装的程序包受到 dla-2864 公告中提及的一个漏洞影响。

  在 haml 5.0.0.beta.2 之前的版本中，通过用户输入在服务器上执行任务时，必须正确转义 < > ' 等字符。在此情况下，缺少 ' 字符。攻击者可操纵输入引入其他属性，进而可能执行代码。
    (CVE-2017-1002201)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	Name	Product	Family	Published	Updated	Severity
130771	Debian DLA-1986-1 : ruby-haml security update	Nessus	Debian Local Security Checks	11/12/2019	4/12/2024	medium
156384	Debian DLA-2864-1 : ruby-haml - LTS セキュリティ更新	Nessus	Debian Local Security Checks	12/29/2021	11/21/2023	medium
130771	Debian DLA-1986-1 : ruby-hamlセキュリティ更新プログラム	Nessus	Debian Local Security Checks	11/12/2019	4/12/2024	medium
156384	Debian DLA-2864-1 : ruby-haml - LTS security update	Nessus	Debian Local Security Checks	12/29/2021	11/21/2023	medium
138950	GLSA-202007-27 : Haml: Arbitrary code execution	Nessus	Gentoo Local Security Checks	7/27/2020	2/28/2024	medium
130771	Debian DLA-1986-1：ruby-haml 安全性更新	Nessus	Debian Local Security Checks	11/12/2019	4/12/2024	medium
130771	Debian DLA-1986-1：ruby-haml 安全更新	Nessus	Debian Local Security Checks	11/12/2019	4/12/2024	medium
156384	Debian DLA-2864-1：ruby-haml - LTS 安全性更新	Nessus	Debian Local Security Checks	12/29/2021	11/21/2023	medium
138950	GLSA-202007-27 : Haml：任意程式碼執行	Nessus	Gentoo Local Security Checks	7/27/2020	2/28/2024	medium
138950	GLSA-202007-27 ：Haml：任意代码执行	Nessus	Gentoo Local Security Checks	7/27/2020	2/28/2024	medium
156384	Debian DLA-2864-1：ruby-haml - LTS 安全更新	Nessus	Debian Local Security Checks	12/29/2021	11/21/2023	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium