来自 Red Hat 安全公告 2011:1102：

更新后的 libsoup 程序包修复了一个安全问题，现可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libsoup 是用于 GNOME 的 HTTP 客户端/库实现。

在 libsoup 的 SoupServer 中发现目录遍历缺陷。如果应用程序使用 SoupServer 来实现 HTTP 服务，则能够连接该服务的远程攻击者就可利用此缺陷，通过特别构建的请求来访问任何此应用程序可以访问的本地文件。(CVE-2011-2524)

所有 libsoup 用户都应升级这些更新后的程序包，其中包含用于解决此问题的向后移植的修补程序。必须重新启动所有使用 libsoup 的 SoupServer 且正在运行的应用程序才能使更新生效。

更新到 2.34.3，包含对 CVE-2011-2524 漏洞的修复

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 在 2.35.4 之前的 libsoup 中的 SoupServer 中，soup-uri.c 中的目录遍历漏洞允许远程攻击者通过 URI 中的 %2e%2e（编码点点）读取任意文件。(CVE-2011-2524)

已发现 libsoup 在处理 SoupServer 请求时未正确验证其输入。远程攻击者可利用此问题，通过目录遍历访问文件。

此 libsoup 更新修复了影响使用库的应用程序的目录遍历攻击。CVE-2011-2524：CVSS v2 基本分数：5.0 (AV:N/AC:L/Au:N/C:P/I:N/A:N)

libsoup 是用于 GNOME 的 HTTP 客户端/库实现。

在 libsoup 的 SoupServer 中发现目录遍历缺陷。如果应用程序使用 SoupServer 来实现 HTTP 服务，则能够连接该服务的远程攻击者就可利用此缺陷，通过特别构建的请求来访问任何此应用程序可以访问的本地文件。(CVE-2011-2524)

所有 libsoup 用户都应升级这些更新后的程序包，其中包含用于解决此问题的向后移植的修补程序。必须重新启动所有使用 libsoup 的 SoupServer 且正在运行的应用程序才能使更新生效。

远程主机受到 GLSA-201412-09 中所述漏洞的影响（在 2011 年修复了多个程序包和多个漏洞）

已在下列程序包中发现漏洞。
 请检查“参考”部分中的 CVE 标识符以了解详细信息。
 FMOD Studio PEAR Mail LVM2 GnuCash xine-lib Last.fm Scrobbler WebKitGTK+ shadow 工具套件 PEAR unixODBC Resource Agents mrouted rsync XML 安全库 xrdb Vino OProfile syslog-ng sFlow 工具包 GNOME Display Manager libsoup CA 证书 Gitolite QtCreator Racer 的影响：

上下文有关的攻击者可获取提升的权限、执行任意代码、导致拒绝服务、获取敏感信息或绕过安全限制。
 变通方案：

目前尚无已知的变通方案。

已发现处理对 SoupServer 的请求时，libsoup（C 语言的 HTTP 库实现）未正确验证输入。远程攻击者可利用此缺陷，通过目录遍历攻击访问系统文件。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2011:1102 公告中提及的漏洞的影响。

    libsoup 是用于 GNOME 的 HTTP 客户端/库实现。

    在 libsoup 的 SoupServer 中发现目录遍历缺陷。如果应用程序使用 SoupServer 实现 HTTP 服务，能够连接到该服务的远程攻击者可以使用此缺陷，通过特别构建的请求，访问该应用程序可以访问的任何本地文件。
    (CVE-2011-2524)

    所有 libsoup 用户都应升级这些更新后的程序包，其中包含用于解决此问题的向后移植的修补程序。必须重新启动所有使用 libsoup 的 SoupServer 且正在运行的应用程序才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

修复了 CVE-2011-2524

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 libsoup 中发现并修正了一个漏洞：

在 2.35.4 之前的 libsoup 中的 SoupServer 中，soup-uri.c 中的目录遍历漏洞允许远程攻击者通过 URI 中的 \%2e\%2e（经编码的“点点”）读取任意文件 (CVE-2011-2524)。

更新后的程序包已进行修补，以修正此问题。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
68315	Oracle Linux 6：libsoup (ELSA-2011-1102)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
55771	Fedora 15：libsoup-2.34.3-1.fc15 (2011-9763)	Nessus	Fedora Local Security Checks	2011/8/8	2021/1/11	medium
80677	Oracle Solaris 第三方修补程序更新：libsoup (cve_2011_2524_directory_traversal)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
55731	Ubuntu 10.04 LTS / 10.10 / 11.04：libsoup2.4 漏洞 (USN-1181-1)	Nessus	Ubuntu Local Security Checks	2011/7/29	2019/9/19	medium
55774	SuSE 11.1 安全更新：libsoup（SAT 修补程序编号 4945）	Nessus	SuSE Local Security Checks	2011/8/8	2021/1/19	medium
61102	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 libsoup	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
75921	openSUSE 安全更新：libsoup-2_4-1 (openSUSE-SU-2011:0875-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
75614	openSUSE 安全更新：libsoup-2_4-1 (openSUSE-SU-2011:0875-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
79962	GLSA-201412-09：在 2011 年修复了多个程序包和多个漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2025/2/28	critical
57509	Debian DSA-2369-1：libsoup2.4 - 不充分的输入审查	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
55724	RHEL 6：libsoup (RHSA-2011:1102)	Nessus	Red Hat Local Security Checks	2011/7/29	2025/4/14	high
56297	Fedora 14：libsoup-2.32.2-2.fc14 (2011-9820)	Nessus	Fedora Local Security Checks	2011/9/26	2021/1/11	medium
58475	Mandriva Linux 安全公告：libsoup (MDVSA-2012:036)	Nessus	Mandriva Local Security Checks	2012/3/26	2021/1/6	medium

检测

插件搜索

high

medium

medium

medium

medium

medium

medium

medium

critical

medium

high

medium

medium