Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在安全标头 (RubyGem secure_headers) 中 3.9.0、 5.2.0和 6.3.0之前的版本中存在一个指令注入漏洞。如果将用户提供的输入传递到 append/override_content_security_policy_directives 则可能注入换行符从而导致标头注入受限。在标头中发现换行符时rails 将使用原始字符串的其余值静默创建新的 Content-Security-Policy 标头。它将继续为每个换行符创建新的标头。此问题已在 6.3.0、 5.2.0和 3.9.0中修复。 (CVE-2020-5216)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 4366 公告中提及的多个漏洞的影响。

  - rack-protection：authenticity_token.rb 中的时序攻击 (CVE-2018-1000119)

  - puppet-agent：Puppet Agent 在下载 CRL 时未正确验证 SSL 连接 (CVE-2018-11751)

  - mysql-connector-java：Connector/J 不明漏洞（2018 年 10 月 CPU） (CVE-2018-3258)

  - hibernate-validator：safeHTML 验证器允许 XSS (CVE-2019-10219)

  - Django：通过 HTTP 进行反向代理连接时未正确检测 HTTP (CVE-2019-12781)

  - rubygem-rack：使用针对会话 id 的时序攻击劫持会话 (CVE-2019-16782)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - jackson-databind：org.aoju.bus.proxy.provider.*.RmiProvider 中的序列化小工具 (CVE-2020-10968)

  - jackson-databind：javax.swing.JEditorPane 中的序列化小工具 (CVE-2020-10969)

  - jackson-databind：org.springframework 中的序列化小工具：spring-aop (CVE-2020-11619)

  - jackson-databind：weblogic/oracle-aqjms 中的序列化 (CVE-2020-14061)

  - jackson-databind：com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool 中的序列化 (CVE-2020-14062)

  - jackson-databind：org.jsecurity.realm.jndi.JndiRealmFactory 中的序列化 (CVE-2020-14195)

  - foreman：通过本地用户在基于 RPM 的安装上读取未经授权的缓存 (CVE-2020-14334)

  - Satellite：单点登录 (SSO) 用户模拟本地用户会导致帐户接管 (CVE-2020-14380)

  - rubygem-secure_headers：使用具有用户输入的动态覆盖时发生有限标头注入 (CVE-2020-5216)

  - rubygem-secure_headers：使用具有用户输入的动态替代时发生指令注入 (CVE-2020-5217)

  - rubygem-actionview：使用“j”或“escape_javascript“方法的视图容易受到 XSS 攻击 (CVE-2020-5267)

  - netty：发生 HTTP 请求走私，这是传输编码空白处理不当所致 (CVE-2020-7238)

  - rubygem-websocket-extensions：Sec-WebSocket-Extensions 解析器中存在 ReDoS 漏洞 (CVE-2020-7663)

  - puppet：任意目录检索 (CVE-2020-7942)

  - puppet：puppet 服务器和 puppetDB 可通过指标 API 泄露敏感信息 (CVE-2020-7943)

  - rubygem-rack：Rack: : Directory 中存在目录遍历 (CVE-2020-8161)

  - rubygem-rack：可使用以百分比编码的 cookie 覆盖现有的带前缀 cookie 名称 (CVE-2020-8184)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
259861	Linux Distros 未修补的漏洞：CVE-2020-5216	Nessus	Misc.	2025/8/30	2025/8/30	medium
142452	RHEL 7：Satellite 6.8 版本（重要）(RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/11/7	critical

检测

插件搜索

medium

critical