Two issues have been found in yaws, a high performance HTTP 1.1 webserver written in Erlang.

CVE-2020-24379 Reject external resource requests in DAV in order to avoid XML External Entity (XXE) attackes.

CVE-2020-24916 Sanitize CGI executable in order to avoid command injection via CGI requests.

For Debian 9 stretch, these problems have been fixed in version 2.0.4+dfsg-1+deb9u1.

We recommend that you upgrade your yaws packages.

For the detailed security status of yaws please refer to its security tracker page at: https://security-tracker.debian.org/tracker/yaws

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートのUbuntu 18.04 LTSホストには、USN-4569-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Yaws Webサーバーのバージョンが1.81〜2.0.7のWebDAV実装は、XXEインジェクションに対して脆弱です。
    （CVE-2020-24379）

  - Yaws Webサーバーのバージョンが1.81〜2.0.7のCGI実装は、OSコマンドインジェクションに対して脆弱です。
    （CVE-2020-24916）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Erlangで記述された高パフォーマンスHTTP 1.1 Webサーバーであるyawsに、2つの問題が見つかりました。

CVE-2020-24379 XML外部エンティティ（XXE）攻撃を回避するために、DAVで外部リソースリクエストを拒否します。

CVE-2020-24916 CGIリクエスト経由のコマンドインジェクションを回避するために、CGI実行可能ファイルをサニタイズします。

Debian 9「Stretch」では、これらの問題はバージョン2.0.4+dfsg-1+deb9u1で修正されています。

お使いのyawsパッケージをアップグレードすることを推奨します。

yawsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/yaws

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Ubuntu 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4569-1 advisory.

  - WebDAV implementation in Yaws web server versions 1.81 to 2.0.7 is vulnerable to XXE injection.
    (CVE-2020-24379)

  - CGI implementation in Yaws web server versions 1.81 to 2.0.7 is vulnerable to OS command injection.
    (CVE-2020-24916)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Two vulnerabilities were discovered in yaws, a high performance HTTP 1.1 webserver written in Erlang.

  - CVE-2020-24379     The WebDAV implementation is prone to a XML External     Entity (XXE) injection vulnerability.

  - CVE-2020-24916     The CGI implementation does not properly sanitize CGI     requests allowing a remote attacker to execute arbitrary     shell commands via specially crafted CGI executable     names.

Erlangで記述された高パフォーマンスHTTP 1.1 Webサーバーであるyawsに、2つの脆弱性が見つかりました。

  - CVE-2020-24379 WebDAVの実装は、XML外部エンティティ（XXE）インジェクションの脆弱性の影響を受けやすくなっています。

  - CVE-2020-24916 CGI実装がCGIリクエストを適切にサニタイズしないため、リモートの攻撃者は、特別に細工されたCGI実行ファイル名を介して任意のシェルコマンドを実行できます。

远程 Ubuntu 18.04 LTS 主机上安装的程序包受到 USN-4569-1 公告中提及的多个漏洞的影响。

  - Yaws Web 服务器 1.81 至 2.0.7 版本中的 WebDAV 实现容易受到 XXE 注入的影响。
    (CVE-2020-24379)

  - Yaws Web 服务器 1.81 至 2.0.7 版本中的 CGI 实现容易受到 OS 命令注入的影响。
    (CVE-2020-24916)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

在 yaws 中發現兩個問題， yaws 是以 Erlang 撰寫的高效能 HTTP 1.1 webserver。

CVE-2020-24379 拒絕 DAV 中的外部資源要求，以避免 XML 外部實體 (XXE) 攻擊。

CVE-2020-24916 清理 CGI 可執行檔，以避免透過 CGI 要求插入命令。

針對 Debian 9「Stretch」，已在 2.0.4+dfsg-1+deb9u1 版本中修正這些問題。

建議您升級 yaws 套件。

如需有關 yaws 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/yaws

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 yaws 中发现两个问题，yaws 是以 Erlang 编写的高性能 HTTP 1.1 Web 服务器。

CVE-2020-24379 拒绝 DAV 中的外部资源请求，避免 XML 外部实体 (XXE) 攻击。

CVE-2020-24916 审查 CGI 可执行文件，避免经 CGI 请求造成命令注入。

针对 Debian 9 stretch，这些问题已在 2.0.4+dfsg-1+deb9u1 版本中修复。

我们建议您升级 yaws 程序包。

如需了解 yaws 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/yaws

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端 Ubuntu 18.04 LTS 主機已安裝套件，這些套件會受 USN-4569-1 公告中所提及的多個弱點影響。

  - Yaws Web 伺服器 1.81 至 2.0.7版本中的 WebDAV 實作容易受到 XXE 插入影響。
    (CVE-2020-24379)

  - Yaws Web 伺服器 1.81 至 2.0.7 版本中的 CGI 實作容易受到 OS 命令插入影響。
    (CVE-2020-24916)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

在 yaws 中發現兩個問題， yaws 是以 Erlang 撰寫的高效能 HTTP 1.1 webserver。

  - CVE-2020-24379 WebDAV 實作容易受到 XML 外部實體 (XXE) 插入弱點影響。

  - CVE-2020-24916 CGI 實作未正確清理 CGI 要求，允許遠端攻擊者透過特製的 CGI 可執行檔名稱執行任意 shell 命令。

在 yaws 中发现两个漏洞，yaws 是以 Erlang 编写的高性能 HTTP 1.1 Web 服务器。

  - CVE-2020-24379 WebDAV 实现容易受到 XML 外部实体 (XXE) 注入漏洞的影响。

  - CVE-2020-24916 CGI 实现未正确审查 CGI 请求，允许远程攻击者通过特别构建的 CGI 可执行文件名称执行任意 shell 命令。

ID	Name	Product	Family	Published	Updated	Severity
140810	Debian DLA-2384-1 : yaws security update	Nessus	Debian Local Security Checks	9/28/2020	2/20/2024	critical
141181	Ubuntu 18.04 LTS：Yawsの脆弱性（USN-4569-1）	Nessus	Ubuntu Local Security Checks	10/5/2020	10/20/2023	critical
140810	Debian DLA-2384-1: yawsセキュリティ更新	Nessus	Debian Local Security Checks	9/28/2020	2/20/2024	critical
141181	Ubuntu 18.04 LTS : Yaws vulnerabilities (USN-4569-1)	Nessus	Ubuntu Local Security Checks	10/5/2020	10/20/2023	critical
141511	Debian DSA-4773-1 : yaws - security update	Nessus	Debian Local Security Checks	10/19/2020	2/15/2024	critical
141511	Debian DSA-4773-1: yaws - セキュリティ更新	Nessus	Debian Local Security Checks	10/19/2020	2/15/2024	critical
141181	Ubuntu 18.04 LTS：Yaws 漏洞 (USN-4569-1)	Nessus	Ubuntu Local Security Checks	10/5/2020	10/20/2023	critical
140810	Debian DLA-2384-1：yaws 安全性更新	Nessus	Debian Local Security Checks	9/28/2020	2/20/2024	critical
140810	Debian DLA-2384-1：yaws 安全更新	Nessus	Debian Local Security Checks	9/28/2020	2/20/2024	critical
141181	Ubuntu 18.04 LTS：Yaws 弱點 (USN-4569-1)	Nessus	Ubuntu Local Security Checks	10/5/2020	10/20/2023	critical
141511	Debian DSA-4773-1：yaws - 安全性更新	Nessus	Debian Local Security Checks	10/19/2020	2/15/2024	critical
141511	Debian DSA-4773-1：yaws - 安全更新	Nessus	Debian Local Security Checks	10/19/2020	2/15/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical