This update for ledger fixes the following issues :

ledger was updated to 3.1.3 :

  + Properly reject postings with a comment right after the     flag (bug #1753)

  + Make sorting order of lot information deterministic (bug     #1747)

  + Fix bug in tag value parsing (bug #1702)

  + Remove the org command, which was always a hack to begin     with (bug #1706)

  + Provide Docker information in README

  + Various small documentation improvements 

This also includes the update to 3.1.2 :

  + Increase maximum length for regex from 255 to 4095 (bug     #981)

  + Initialize periods from from/since clause rather than     earliest transaction date (bug #1159)

  + Check balance assertions against the amount after the     posting (bug #1147)

  + Allow balance assertions with multiple posts to same     account (bug #1187)

  + Fix period duration of 'every X days' and similar     statements (bug #370)

  + Make option --force-color not require --color anymore     (bug #1109)

  + Add quoted_rfc4180 to allow CVS output with RFC 4180     compliant quoting.

  + Add support for --prepend-format in accounts command

  + Fix handling of edge cases in trim function (bug #520)

  + Fix auto xact posts not getting applied to account total     during journal parse (bug #552)

  + Transfer null_post flags to generated postings

  + Fix segfault when using --market with --group-by

  + Use amount_width variable for budget report

  + Keep pending items in budgets until the last day they     apply

  + Fix bug where .total used in value expressions breaks     totals

  + Make automated transactions work with assertions (bug     #1127)

  + Improve parsing of date tokens (bug #1626)

  + Don't attempt to invert a value if it's already zero     (bug #1703)

  + Do not parse user-specified init-file twice

  + Fix parsing issue of effective dates (bug #1722,     TALOS-2017-0303, CVE-2017-2807)

  + Fix use-after-free issue with deferred postings (bug     #1723, TALOS-2017-0304, CVE-2017-2808)

  + Fix possible stack overflow in option parsing routine     (bug #1222, CVE-2017-12481)

  + Fix possible stack overflow in date parsing routine (bug     #1224, CVE-2017-12482)

  + Fix use-after-free when using --gain (bug #541)

  + Python: Removed double quotes from Unicode values.

  + Python: Ensure that parse errors produce useful     RuntimeErrors

  + Python: Expose journal expand_aliases

  + Python: Expose journal_t::register_account

  + Improve bash completion

  + Emacs Lisp files have been moved to     https://github.com/ledger/ledger-mode

  + Various documentation improvements

The remote host is affected by the vulnerability described in GLSA-202004-05 (ledger: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in ledger. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could entice a user to process a specially crafted       file using ledger, possibly resulting in execution of arbitrary code with       the privileges of the process or a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The ledger::parse_date_mask_routine function in times.cc in Ledger 3.1.1 allows remote attackers to cause     a denial of service (stack-based buffer overflow and application crash) or possibly have unspecified other     impact via a crafted file. (CVE-2017-12482)

Note that Nessus relies on the presence of the package as reported by the vendor.

ledger用のこの更新プログラムでは、以下の問題が修正されています：

ledgerが3.1.3に更新されました：

  + フラグの直後のコメント付きの投稿を適切に拒否します（バグ#1753）

  + 決定した多くの情報で、ソート順序を並べ替えます（バグ#1747）

  + タグ値解析におけるバグを修正します（バグ#1702）

  + もともとハックであったorgコマンドを削除します（バグ#1706）

  + READMEでDocker情報を提供します

  + 様々な小さなドキュメントの改善 

これには、3.1.2への更新も含まれます：

  + 正規表現の最大長を255から4095に増やします（バグ#981）

  + 期間をトランザクションの初期日付ではなくfrom/sinceから初期化します（バグ#1159）

  + 投稿後の量に対して、バランスアサーションをチェックします（バグ#1147）

  + 同じアカウントへの複数の投稿を含むバランスアサーションを許可します（バグ#1187）

  +「X日ごと」の期間期間および類似の記述を修正します（バグ#370）

  + オプション--force-colorがもはや--colorを必要としないようにします（バグ#1109）

  + quoted_rfc4180を追加し、RFC 4180準拠の引用付きのCVS出力を可能にします。

  + アカウントコマンドの--prepend-formatのサポートを追加します

  + トリム関数におけるエッジケースの処理を修正します（バグ#520）

  + ジャーナル解析中にauto xact投稿がアカウント合計に適用されないことを修正します（バグ#552）

  + 生成された投稿にnull_postフラグを転送します

  + --marketを--group-byの使用する際のセグメンテーション違反を修正します

  + バジェットレポートのためにamount_width変数を使用します

  + バジェットで保留中のアイテムを、適用最終日まで維持します

  + 値の式で.totalを使用すると合計が壊れるバグを修正します

  + 自動化されたトランザクションをアサーションで動作させます（バグ#1127）

  + 日付トークンの解析を改善します（バグ#1626）

  + すでにゼロの場合は、値を反転しようとしません（バグ#1703）

  + ユーザー指定のinitファイルを2回解析しません

  + 有効日の解析問題を修正します（バグ#1722、TALOS-2017-0303、CVE-2017-2807）

  + 延期された投稿によるメモリ解放後使用（Use After Free）の問題を修正します（バグ#1723、TALOS-2017-0304、CVE-2017-2808）

  + オプション解析ルーチンでのスタックオーバーフローの可能性を修正します（バグ#1222、CVE-2017-12481）

  + 日付解析ルーチンでのスタックオーバーフローの可能性を修正します（バグ#1224、CVE-2017-12482）

  + --gainの使用時にメモリ解放後使用（Use After Free）を修正します（バグ#541）

  + Python：Unicode値から二重引用符を削除。

  + Python：解析エラーが役に立つRuntimeErrorsを生成するようにします

  + Python：ジャーナルexpand_aliasesを公開します

  + Python：journal_tの漏洩：: register_account

  + bashの完了を改善します

  + Emacs Lispファイルはhttps://github.com/ledger/ledger-modeに移動されました 

  + 様々なドキュメントの改善

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Ledger 3.1.1 の times.cc の ledger::parse_date_mask_routine 関数により、リモートの攻撃者が、細工されたファイルでサービス拒否スタックベースのバッファオーバーフローやアプリケーションクラッシュを引き起こしたり、特定されない他の影響を及ぼしたりする可能性があります。CVE-2017-12482

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端主機受到 GLSA-202004-05 中所述的弱點影響 (ledger：多個弱點)

    在 ledger 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可引誘使用者處理使用 ledger 的特製檔案，並可能藉此以處理程序的權限執行任意程式碼，或導致拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Ledger 3.1.1 中times.cc 的 ledger::parse_date_mask_routine 函式讓遠端攻擊者得以透過特製檔案造成拒絕服務 (堆疊型緩衝區溢位和應用程式損毀)或可能造成其他不明影響。 (CVE-2017-12482)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机受到 GLSA-202004-05 中所述漏洞的影响（Ledger：多个漏洞）

    已在 Ledger 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可引诱用户使用 Ledger 处理特别构建的文件，这可能导致以进程权限执行任意代码或拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Ledger 3.1.1 的 times.cc 中ledger::parse_date_mask_routine 函数允许远程攻击者通过特制的文件造成拒绝服务基于堆栈的缓冲区溢出和应用程序崩溃或可能造成其他不明影响。 (CVE-2017-12482)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
126909	openSUSE Security Update : ledger (openSUSE-2019-1779)	Nessus	SuSE Local Security Checks	2019/7/22	2024/5/9	high
135116	GLSA-202004-05 : ledger: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2020/4/2	2024/3/20	high
258458	Linux Distros Unpatched Vulnerability : CVE-2017-12482	Nessus	Misc.	2025/8/30	2025/8/30	high
126909	openSUSEセキュリティ更新プログラム：ledger（openSUSE-2019-1779）	Nessus	SuSE Local Security Checks	2019/7/22	2024/5/9	high
258458	Linux Distros のパッチ未適用の脆弱性: CVE-2017-12482	Nessus	Misc.	2025/8/30	2025/8/30	high
135116	GLSA-202004-05：Ledger：多個弱點	Nessus	Gentoo Local Security Checks	2020/4/2	2024/3/20	high
258458	Linux Distros 未修補的弱點：CVE-2017-12482	Nessus	Misc.	2025/8/30	2025/8/30	high
135116	GLSA-202004-05：Ledger：多个漏洞	Nessus	Gentoo Local Security Checks	2020/4/2	2024/3/20	high
258458	Linux Distros 未修补的漏洞：CVE-2017-12482	Nessus	Misc.	2025/8/30	2025/8/30	high

检测

插件搜索

high

high

high

high

high

high

high

high

high