远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主机上安装的程序包受到 USN-4953-1 公告中提及的多个漏洞的影响。

  - Awstats 7.6 及更早版本在处理“config”和“migrate”参数时容易受到一个路径遍历缺陷的影响，从而导致未经身份验证的远程代码执行。(CVE-2017-1000501)

  - 在 AWStats 7.7 及之前的所有版本中，cgi-bin/awstats.pl?config= 会接受绝对路径名，即使其原定只读取 /etc/awstats/awstats.conf 格式的文件亦然。注意：此问题是因对 CVE-2017-1000501 的修复不完整所致。(CVE-2020-29600)

  - 在 AWStats 7.8 及之前的所有版本中，cgi-bin/awstats.pl?config= 会接受部分绝对路径名（忽略开头的 /etc），即使其原定只读取 /etc/awstats/awstats.conf 格式的文件亦然。
    注意：此问题是因对 CVE-2017-1000501 和 CVE-2020-29600 的修复不完整所致。
    (CVE-2020-35176)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS：AWStats 漏洞 (USN-4953-1)

critical Nessus 插件 ID 149478

未找到依赖项