更新后的 gnome-vfs2 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

gnome-vfs2 程序包提供 GNOME 虚拟文件系统，即 Nautilus 文件管理器的基础。neon 是嵌入 gnome-vfs2 程序包的 HTTP 和 WebDAV 客户端库。

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。通过使用 gnome-vfs2 的应用程序（如 Nautilus）访问恶意的 DAV 服务器，可能会导致应用程序占用大量 CPU 和内存。
(CVE-2009-2473)

此更新还修复以下缺陷：

* 当从统一资源标识符 (URI) 提取时，gnome-vfs2 返回已转义的文件路径。如果存储在 URI 中的路径含有被解析为文件路径以外内容（如空间）的非 ASCII 字符或 ASCII 字符，则被转义的路径是不正确的。因此，不能处理含有所述类型 URI 的文件。通过此更新，gnome-vfs2 正确地反转义系统调用所要求的路径。因此，这些路径能进行正确解析。(BZ#580855)

* 在某些情况下，指向实时数据的外来条目会填充垃圾信息文件。清空垃圾导致意外删除重要数据。通过此更新，已应用变通方案避免此类删除。因此可避免数据的意外丢失，但还需收集更多信息才能完全修复该问题。(BZ#586015)

* 由于目标文件系统的错误测试检查，Nautilus 文件管理器没有删除与驻留于另一文件系统的文件夹之间的符号链接。通过此更新，已添加特别测试。因此，指向另一文件系统的符号链接可正常销毁或删除。(BZ#621394)

* 在此更新之前，当对无读取权限的目录进行复制标记时，Nautilus 文件管理器会在没有通知的情况下跳过这些不可读的目录。通过此更新，Nautilus 显示错误消息并将上述问题正确地告知用户。(BZ#772307)

* 以前，gnome-vfs2 将 stat() 函数调用用于多版本文件系统 (MVFS) 的每个文件，例如由 IBM Rational ClearCase 使用。这一行为大大减缓了文件操作。通过此更新，限制了不必要的 stat() 操作。因此，gnome-vfs2 用户界面（如 Nautilus）的响应更强。(BZ#822817)

建议所有 gnome-vfs2 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

远程 Oracle Linux 5 主机上安装的多个程序包受到 ELSA-2013-0131 公告中提及的一个漏洞影响。

    [2.16.2-10.el5]
    - 防止回收站小程序崩溃 (#848822)

    [2.16.2-9.el5]
    - 防止将链接的项目删除到垃圾箱 (#586015)
    - 不对 ClearCase mvfs 文件系统上的每个文件进行统计 (#822817)
    - 复制期间不静默地跳过没有读取权限的目录 (#772307)
    - 允许将垃圾符号链接连接到不支持垃圾回收的文件系统根 (#621394)
    - CVE-2009-2473 gnome-vfs2 Embedded neonbillion laughs DoS 攻击#540548

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 使用 expat 时， 0.28.6之前的 neon 在实体扩展期间未正确检测递归，从而允许上下文有关的攻击者通过包含大量嵌套实体的构建的 XML 文档造成拒绝服务（内存和 CPU 消耗）引用，此问题与 CVE-2003-1564类似。
    (CVE-2009-2473)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

CVE-2009-2473 neon，gnome-vfs2 嵌入式 neon：billion laughs DoS 攻击

CVE-2009-2474 neon：未正确验证某些字段中包含空 (0) 字节的 x509v3 证书

发现 neon 受到之前发布的“null 前缀攻击”的影响，后者是由对 X.509 证书中的空字符的不当处理导致的。如果攻击者能够获得由受信任的颁发机构签名的、精心构建的证书，则攻击者可在中间人攻击期间利用此证书并可能迷惑使用 neon 库的应用程序错误地接受该证书。(CVE-2009-2474)

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。远程攻击者（恶意 DAV 服务器）可提供特别构建的 XML 文档，如果使用 neon XML 解析器的应用程序受到诱骗处理该文档，会导致消耗过量内存和 CPU。(CVE-2009-2473)

必须重新启动使用 neon HTTP 和 WebDAV 客户端库的应用程序（例如 cadaver）才能使更新生效。

来自 Red Hat 安全公告 2009:1452：

更新后的 neon 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

neon 是 HTTP 和 WebDAV 客户端库，具有 C 接口。它提供 HTTP 和 WebDAV 方法的高级接口以及用于 HTTP 请求处理的低级接口。neon 支持持久连接，代理服务器，basic、digest 和 Kerberos 认证，并具备完整的 SSL 支持。

发现 neon 受到之前发布的“null 前缀攻击”的影响，后者是由对 X.509 证书中的空字符的不当处理导致的。如果攻击者能够获得由受信任的颁发机构签名的、精心构建的证书，则攻击者可在中间人攻击期间利用此证书并可能迷惑使用 neon 库的应用程序错误地接受该证书。(CVE-2009-2474)

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。远程攻击者（恶意 DAV 服务器）可提供特别构建的 XML 文档，如果使用 neon XML 解析器的应用程序受到诱骗处理该文档，会导致消耗过量内存和 CPU。(CVE-2009-2473)

所有 neon 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动使用 neon HTTP 和 WebDAV 客户端库的应用程序（例如 cadaver）才能使更新生效。

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。通过使用 gnome-vfs2 的应用程序（如 Nautilus）访问恶意的 DAV 服务器，可能会导致应用程序占用大量 CPU 和内存。
(CVE-2009-2473)

此更新还修复以下缺陷：

- 当从统一资源标识符 (URI) 提取时，gnome-vfs2 返回已转义的文件路径。如果存储在 URI 中的路径含有被解析为文件路径以外内容（如空间）的非 ASCII 字符或 ASCII 字符，则被转义的路径是不正确的。因此，不能处理含有所述类型 URI 的文件。
 通过此更新，gnome-vfs2 正确地反转义系统调用所要求的路径。因此，这些路径能进行正确解析。

- 在某些情况下，指向实时数据的外来条目会填充垃圾信息文件。清空垃圾导致意外删除重要数据。
 通过此更新，已应用变通方案避免此类删除。因此可避免数据的意外丢失，但还需收集更多信息才能完全修复该问题。

- 由于目标文件系统的错误测试检查，Nautilus 文件管理器没有删除与驻留于另一文件系统的文件夹之间的符号链接。通过此更新，已添加特别测试。因此，指向另一文件系统的符号链接可正常销毁或删除。

- 在此更新之前，当对无读取权限的目录进行复制标记时，Nautilus 文件管理器会在没有通知的情况下跳过这些不可读的目录。通过此更新，Nautilus 显示错误消息并将上述问题正确地告知用户。

- 以前，gnome-vfs2 将 stat() 函数调用用于多版本文件系统 (MVFS) 的每个文件，例如由 IBM Rational ClearCase 使用。这一行为大大减缓了文件操作。通过此更新，限制了不必要的 stat() 操作。因此，gnome-vfs2 用户界面（如 Nautilus）的响应更强。

远程主机运行的 Mac OS X 10.6.x 版本低于 10.6.5。Mac OS X 10.6.5 含有下列产品的安全修复：- AFP Server - Apache mod_perl - Apache - AppKit - ATS - CFNetwork - CoreGraphics - CoreText - CUPS - Directory Services - diskdev_cmds - Disk Images - Flash Player plug-in - gzip - Image Capture - ImageIO - Image RAW - Kernel - MySQL - neon - Networking - OpenLDAP - OpenSSL - Password Server - PHP - Printing - python - QuickLook - QuickTime - Safari RSS - Time Machine - Wiki Server - X11 - xar

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
63576	CentOS 5：gnome-vfs2 (CESA-2013:0131)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
68702	Oracle Linux 5：gnome-vfs2 (ELSA-2013-0131)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	high
217160	Linux Distros 未修补的漏洞: CVE-2009-2473	Nessus	Misc.	2025/3/3	2025/3/3	high
63412	RHEL 5：gnome-vfs2 (RHSA-2013:0131)	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
60667	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 neon	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67927	Oracle Linux 4 / 5：neon (ELSA-2009-1452)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
63594	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 gnome-vfs2	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
50548	Mac OS X 10.6.x < 10.6.5 多种漏洞	Nessus	MacOS X Local Security Checks	2010/11/10	2024/5/28	critical

检测

插件搜索

medium

high

high

medium

medium

high

medium

critical