在所有 KDE 4 应用程序的核心库 kde4libs 中发现数个漏洞。通用漏洞和暴露计划识别以下问题：CVE-2017-6410 Safebreach Labs 的 Itzik Kotler、Yonatan Fridburg 和 Amit Klein 报告 URL 在传递给 FindProxyForURL 之前未正确清理，可能允许远程攻击者通过特制的 PAC 文件获取敏感信息。CVE-2017-8422 SUSE 的 Sebastian Krahmer 发现 KAuth 框架包含一个逻辑缺陷，未正确检查调用 dbus 的服务。此缺陷允许伪造调用者的身份并从非特权帐户获得 root 权限。CVE-2013-2074 已发现 KIO 在某些错误情况下会显示 web 身份验证凭据。对于 Debian 7“Wheezy”，这些问题已在 4:4.8.4-4+deb7u3 版本中修复。我们建议您升级 kde4libs 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新修复了 kio_http 的 KDE 3 兼容性 (kdelibs3) 版本中的低影响安全问题，其中可打印错误和调试信息中 HTTP URL 所包含的密码 (CVE-2013-2074)。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

发现 KIO 在某些错误条件下有时会显示 Web 认证凭据。如果用户受到诱骗打开特别构建的网页，攻击者可能利用此问题来暴露机密信息。

远程主机受到 GLSA-201406-34 中所述漏洞的影响（KDE 库：多个漏洞）

    已在 KDE 库中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可通过由合法证书颁发机构颁发的任何证书造成中间人攻击。此外，本地攻击者可通过信息泄漏获知用户密码。
  变通方案：

    目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - kdelibs 4.10.3 及更早版本中 KIO 的 kioslave/http/http.cpp 允许攻击者通过构建的可触发内部服务器错误（错误消息中包含用户名和密码）的请求发现凭据。 (CVE-2013-2074)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
100431	Debian DLA-952-1：kde4libs 安全更新	Nessus	Debian Local Security Checks	2017/5/26	2021/1/11	high
66607	Fedora 19：kdelibs3-3.5.10-53.fc19 (2013-8625)	Nessus	Fedora Local Security Checks	2013/5/28	2021/1/11	medium
66691	Ubuntu 12.04 LTS / 12.10 / 13.04：kde4libs 漏洞 (USN-1842-1)	Nessus	Ubuntu Local Security Checks	2013/5/30	2019/9/19	medium
76305	GLSA-201406-34 : KDE 库：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/30	2021/1/6	medium
217981	Linux Distros 未修补的漏洞: CVE-2013-2074	Nessus	Misc.	2025/3/4	2025/3/4	high
66650	Fedora 17：kdelibs3-3.5.10-53.fc17 (2013-8689)	Nessus	Fedora Local Security Checks	2013/5/29	2021/1/11	medium
66655	Fedora 18：kdelibs3-3.5.10-53.fc18 (2013-8717)	Nessus	Fedora Local Security Checks	2013/5/29	2021/1/11	medium

检测

插件搜索

high

medium

medium

medium

high

medium

medium