Fix CSRF issue.

  - Fix font-awesome paths (bug #1219956)

    - Add upstream patch to fix PyQt4 import (bug #1219997)

    - Use python2 macros, fix python3 shebang fix Fix       fontawesome path

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Kyle Kelley 氏による報告：

サマリー：IPython REST API 経由で漏洩した POST リクエストはクロスサイトリクエスト偽造（CSRF）に対して脆弱です。異なるドメイン上の Web ページは非 AJAX POST リクエストを既知の IPython URL にする可能性があり、IPython はそれを遵守します。ユーザーのブラウザはリクエストと一緒に IPython クッキーを自動的に送信します。応答は同一生成元ポリシーによりブロックされていますが、リクエストはブロックされていません。

問題のある API パス：

- POST /api/contents/<path>/<file>

- POST /api/contents/<path>/<file>/checkpoints

- POST /api/contents/<path>/<file>/checkpoints/<checkpoint_id>

- POST /api/kernels

- POST /api/kernels/<kernel_id>/<action>

- POST /api/sessions

- POST /api/clusters/<cluster_id>/<action>

リモートの Ubuntu 18.04 ESM / 20.04 ESM ホストには、USN-5953-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - IPython 2 および 3 の REST API におけるクロスサイトリクエスト偽造。(CVE-2015-5607)

  - IPython (Interactive Python) は、複数のプログラミング言語でのインタラクティブコンピューティング用のコマンドシェルで、もともとは Python プログラミング言語用に開発されました。影響を受けるバージョンは、クロスユーザーの一時ファイルを適切に管理しないことにより、任意のコードが実行される脆弱性の影響を受けます。この脆弱性により、あるユーザーが同じマシンで別のユーザーとしてコードを実行する可能性があります。全ユーザーにアップグレードすることを推奨します。(CVE-2022-21699)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Kyle Kelley reports :

Summary: POST requests exposed via the IPython REST API are vulnerable to cross-site request forgery (CSRF). Web pages on different domains can make non-AJAX POST requests to known IPython URLs, and IPython will honor them. The user's browser will automatically send IPython cookies along with the requests. The response is blocked by the Same-Origin Policy, but the request isn't.

API paths with issues :

- POST /api/contents/<path>/<file>

- POST /api/contents/<path>/<file>/checkpoints

- POST /api/contents/<path>/<file>/checkpoints/<checkpoint_id>

- POST /api/kernels

- POST /api/kernels/<kernel_id>/<action>

- POST /api/sessions

- POST /api/clusters/<cluster_id>/<action>

The remote Ubuntu 18.04 ESM / 20.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-5953-1 advisory.

    It was discovered that IPython incorrectly processed REST API POST requests. An attacker could possibly     use this issue to launch a cross-site request forgery (CSRF) attack and leak user's sensitive information.
    This issue only affected Ubuntu 14.04 ESM. (CVE-2015-5607)

    It was discovered that IPython did not properly manage cross user temporary files. A local attacker could     possibly use this issue to execute arbitrary code. This issue only affected Ubuntu 18.04 ESM and Ubuntu     20.04 ESM. (CVE-2022-21699)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

CSRF の問題を修正。

- font-awesome パスを修正します（バグ #1219956）

- PyQt4 インポートを修正する Upstream パッチを追加します（バグ #1219997）

- python2 マクロを使用します。python3 shebang の修正を修正します fontawesome パスを修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

修复 CSRF 问题。

- 修复象形异体字路径（缺陷 #1219956）

- 添加上游修补程序以修复 PyQt4 导入（缺陷 #1219997）

- 使用 python2 宏，修复 python3 shebang 补丁，修复象形异体字路径

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Kyle Kelley 報告：

摘要：透過 IPython REST API 揭露的 POST 要求容易受到跨網站要求偽造 (CSRF) 弱點影響。不同網域上的網頁可向已知的 IPython URL 提出非 AJAX POST 要求，且 Ipython 會接受這些要求。使用者的瀏覽器會隨著要求自動傳送 IPython cookie。回應會遭同源原則封鎖，但是要求不會遭封鎖。

有問題的 API 路徑：

- POST /api/contents/<path>/<file>

- POST /api/contents/<path>/<file>/checkpoints

- POST /api/contents/<path>/<file>/checkpoints/<checkpoint_id>

- POST /api/kernels

- POST /api/kernels/<kernel_id>/<action>

- POST /api/sessions

- POST /api/clusters/<cluster_id>/<action>

遠端 Ubuntu 18.04 ESM / 20.04 ESM 主機上安裝的多個套件受到 USN-5953-1 公告中提及的多個弱點影響。

  - IPython 2 和 3 中的 REST API 存在跨網站要求偽造問題。(CVE-2015-5607)

  - IPython (Interactive Python) 是以多種程式設計語言進行互動運算的命令殼層，它原本是針對 Python 程式設計語言開發的。受影響的版本容易受到因未正確管理跨使用者暫存檔而造成的任意程式碼執行弱點影響。此弱點允許使用者以另一位使用者的身分在相同機器上執行程式碼。建議所有使用者進行升級。(CVE-2022-21699)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

修正 CSRF 問題。

- - 修正 font-awesome 路徑 (錯誤 #1219956)

- 新增上游修補程式來修正 PyQt4 匯入 (錯誤 #1219997)

- 使用 python2 巨集、修正 python3 shebang、修正 fontawesome 路徑

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Kyle Kelley 报告：

汇总：通过 IPython REST API 暴露的 POST 请求易受跨站请求伪造 (CSRF) 攻击。不同域上的网页可向已知的 IPython URL 发出非 AJAX POST 请求，而 IPython 将遵从这些请求。用户的浏览器将自动发送 IPython Cookie 及请求。响应受到同源策略阻断，而请求不会。

有问题的 API 路径：

- POST /api/contents/<path>/<file>

- POST /api/contents/<path>/<file>/checkpoints

- POST /api/contents/<path>/<file>/checkpoints/<checkpoint_id>

- POST /api/kernels

- POST /api/kernels/<kernel_id>/<action>

- POST /api/sessions

- POST /api/clusters/<cluster_id>/<action>

远程 Ubuntu 18.04 ESM / 20.04 ESM 主机上安装的多个程序包受到 USN-5953-1 公告中提及的多个漏洞影响。

  - IPython 2 和 3 的 REST API 中存在跨站请求伪造。(CVE-2015-5607)

  - IPython（交互式 Python）是一种用于使用多种编程语言进行交互式计算的命令 shell，最初专为 Python 编程语言开发。受影响的版本可能会受到一个任意代码执行漏洞的影响，原因是未正确管理跨用户临时文件。此漏洞允许一名用户在同一台计算机上以另一名用户的身份运行代码。建议所有用户都进行升级。(CVE-2022-21699)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
85088	Fedora 22 : ipython-2.4.1-7.fc22 (2015-11677)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
85091	Fedora 21 : ipython-2.4.1-7.fc21 (2015-11767)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
84707	FreeBSD：devel/ipython -- CSRF の発生可能なリモート実行の脆弱性（81326883-2905-11e5-a4a5-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/7/14	2021/1/6	high
172574	Ubuntu 18.04 ESM / 20.04 ESM : IPython の脆弱性 (USN-5953-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical
84707	FreeBSD : devel/ipython -- CSRF possible remote execution vulnerability (81326883-2905-11e5-a4a5-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/7/14	2021/1/6	high
172574	Ubuntu 18.04 ESM / 20.04 ESM : IPython vulnerabilities (USN-5953-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical
85088	Fedora 22：ipython-2.4.1-7.fc22（2015-11677）	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
85091	Fedora 21：ipython-2.4.1-7.fc21（2015-11767）	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
85088	Fedora 22：ipython-2.4.1-7.fc22 (2015-11677)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
85091	Fedora 21：ipython-2.4.1-7.fc21 (2015-11767)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
84707	FreeBSD：devel/ipython -- CSRF 可能的遠端執行弱點 (81326883-2905-11e5-a4a5-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/7/14	2021/1/6	high
172574	Ubuntu 18.04 ESM / 20.04 ESM：IPython 弱點 (USN-5953-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical
85088	Fedora 22：ipython-2.4.1-7.fc22 (2015-11677)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
85091	Fedora 21：ipython-2.4.1-7.fc21 (2015-11767)	Nessus	Fedora Local Security Checks	2015/7/30	2021/1/11	high
84707	FreeBSD : devel/ipython -- CSRF 可能的远程执行漏洞 (81326883-2905-11e5-a4a5-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/7/14	2021/1/6	high
172574	Ubuntu 18.04 ESM / 20.04 ESM：IPython 漏洞 (USN-5953-1)	Nessus	Ubuntu Local Security Checks	2023/3/15	2025/9/3	critical

检测

插件搜索

high

high

high

critical

high

critical

high

high

high

high

high

critical

high

high

high

critical