The remote host is affected by the vulnerability described in GLSA-202105-19 (Firejail: Privilege escalation)

    It was discovered that a flaw in Firejail&rsquo;s OverlayFS code allowed       restricted programs to escape sandbox.
  Impact :

    A local attacker could obtain arbitrary file system access via an       application running within a Firejail sandbox, possibly resulting in       privilege escalation.
  Workaround :

    There is no known workaround at this time.

Roman Fiedler discovered a vulnerability in the OverlayFS code in firejail, a sandbox program to restrict the running environment of untrusted applications, which could result in root privilege escalation. This update disables OverlayFS support in firejail.

The remote Ubuntu 20.04 LTS host has packages installed that are affected by a vulnerability as referenced in the USN-5141-1 advisory.

    Roman Fiedler discovered that a race condition existed in Firejail when using OverlayFS to prevent writes     to the underlying file system. A local attacker could use this to gain administrative privileges. Note:
    this update disables support for OverlayFS in Firejail.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202105-19 中所述的弱點影響 (Firejail：權限提升)

    據發現，Firejail 的 OverlayFS 程式碼中有一個缺陷，其會允許受限制的程式逸出沙箱。
  影響：

    本機攻擊者可透過在 Firejail 沙箱中執行的應用程式取得任意檔案系統存取權，進而可能導致權限提升。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-202105-19 中所述漏洞的影响 （Firejail：权限提升）

    据发现，Firejail 的 OverlayFS 代码中有一个允许受限制程序逃逸沙盒的缺陷。
  影响：

    本地攻击者可通过 Firejail 沙盒内运行的应用程序获取任意文件系统访问权限，从而可能造成权限升级问题。
  变通方案：

    目前无任何已知的变通方案。

Roman Fiedler氏は、信頼できないアプリケーションの実行環境を制限するサンドボックスプログラムであるfirejailのOverlayFSコードに、root権限昇格を引き起こす可能性がある脆弱性を発見しました。この更新により、firejailでのOverlayFSサポートが無効になります。

リモートのUbuntu20.04LTSホストには、USN-5141-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 0.9.64.4より前の Firejail では、stat 操作と OverlayFS マウント操作の間に TOCTOU 競合状態があるため、攻撃者が意図されたアクセス制限をバイパスする可能性があります。(CVE-2021-26910)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Ubuntu 20.04 LTS 主機上安裝的套件受到 USN-5141-1 公告中所提及的一個弱點影響。

  - 0.9.64.4 版之前的 Firejail 允許攻擊者繞過預定的存取限制，因為 stat 作業和 OverlayFS 掛載作業之間存在 TOCTOU 爭用情形。(CVE-2021-26910)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Ubuntu 20.04 LTS 主机上安装的程序包受到 USN-5141-1 公告中提及的漏洞的影响。

  - 低于 0.9.64.4 的 Firejail 允许攻击者绕过预期的访问限制，这是因为 stat 操作和 OverlayFS 挂载操作之间存在 TOCTOU 争用条件。(CVE-2021-26910)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

Roman Fiedler 在 firejail (一個用於限制未受信任應用程式執行環境的程式) 的 OverlayFS 程式碼中發現一個弱點，攻擊者可藉此將權限提升爲 Root 權限。此更新停用了 firejail 中的 OverlayFS 支援。

Roman Fiedler 在 firejail (一個用於限制未受信任應用程式執行環境的程式) 的 OverlayFS 程式碼中發現一個弱點，攻擊者可藉此將權限提升爲 Root 權限。此更新停用了 firejail 中的 OverlayFS 支援。

針對 Debian 9 Stretch，已在 0.9.44.8-2+deb9u2 版本中修正此問題。

建議您升級 firejail 套件。

如需有關 firejail 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Roman Fiedler 在限制不受信任应用程序运行环境的沙盒程序 firejail 的 OverlayFS 代码中发现一个漏洞，可导致根特权提升。此更新禁用了 firejail 中的 OverlayFS 支持。

Roman Fiedler 在限制不受信任应用程序运行环境的沙盒程序 firejail 的 OverlayFS 代码中发现一个漏洞，可导致根特权提升。此更新禁用了 firejail 中的 OverlayFS 支持。

对于 Debian 9 stretch，已在版本 0.9.44.8-2+deb9u2 中修复此问题。

我们建议您升级 firejail 程序包。

如需了解 firejail 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

Roman Fiedler discovered a vulnerability in the OverlayFS code in firejail, a sandbox program to restrict the running environment of untrusted applications, which could result in root privilege escalation. This update disables OverlayFS support in firejail.

For Debian 9 stretch, this problem has been fixed in version 0.9.44.8-2+deb9u2.

We recommend that you upgrade your firejail packages.

For the detailed security status of firejail please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/firejail

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for firejail fixes the following issues :

firejail 0.9.64.4 is shipped to openSUSE Leap 15.2

  - CVE-2021-26910: Fixed root privilege escalation due to     race condition (boo#1181990)

Update to 0.9.64.4 :

  - disabled overlayfs, pending multiple fixes

  - fixed launch firefox for open url in     telegram-desktop.profile

Update to 0.9.64.2 :

  - allow --tmpfs inside $HOME for unprivileged users

  - --disable-usertmpfs compile time option

  - allow AF_BLUETOOTH via --protocol=bluetooth

  - setup guide for new users: contrib/firejail-welcome.sh

  - implement netns in profiles

  - added nolocal6.net IPv6 network filter

  - new profiles: spectacle, chromium-browser-privacy,     gtk-straw-viewer, gtk-youtube-viewer,     gtk2-youtube-viewer, gtk3-youtube-viewer, straw-viewer,     lutris, dolphin-emu, authenticator-rs, servo, npm,     marker, yarn, lsar, unar, agetpkg, mdr, shotwell, qnapi,     new profiles: guvcview, pkglog, kdiff3, CoyIM.

Update to version 0.9.64 :

  - replaced --nowrap option with --wrap in firemon

  - The blocking action of seccomp filters has been changed     from killing the process to returning EPERM to the     caller. To get the previous behaviour, use
    --seccomp-error-action=kill or syscall:kill syntax when     constructing filters, or override in     /etc/firejail/firejail.config file.

  - Fine-grained D-Bus sandboxing with xdg-dbus-proxy.
    xdg-dbus-proxy must be installed, if not D-Bus access     will be allowed. With this version nodbus is deprecated,     in favor of dbus-user none and dbus-system none and will     be removed in a future version.

  - DHCP client support

  - firecfg only fix dektop-files if started with sudo

  - SELinux labeling support

  - custom 32-bit seccomp filter support

  - restrict $(RUNUSER) in several profiles

  - blacklist shells such as bash in several profiles

  - whitelist globbing

  - mkdir and mkfile support for /run/user directory

  - support ignore for include

  - --include on the command line

  - splitting up media players whitelists in     whitelist-players.inc

  - new condition: HAS_NOSOUND

  - new profiles: gfeeds, firefox-x11, tvbrowser, rtv,     clipgrab, muraster

  - new profiles: gnome-passwordsafe, bibtex, gummi, latex,     mupdf-x11-curl

  - new profiles: pdflatex, tex, wpp, wpspdf, wps, et,     multimc, mupdf-x11

  - new profiles: gnome-hexgl,     com.github.johnfactotum.Foliate, mupdf-gl, mutool

  - new profiles: desktopeditors, impressive, planmaker18,     planmaker18free

  - new profiles: presentations18, presentations18free,     textmaker18, teams

  - new profiles: textmaker18free, xournal,     gnome-screenshot, ripperX

  - new profiles: sound-juicer, com.github.dahenson.agenda,     gnome-pomodoro

  - new profiles: gnome-todo, x2goclient, iagno, kmplayer,     penguin-command

  - new profiles: frogatto, gnome-mines, gnome-nibbles,     lightsoff, warmux

  - new profiles: ts3client_runscript.sh, ferdi, abiword,     four-in-a-row

  - new profiles: gnome-mahjongg, gnome-robots,     gnome-sudoku, gnome-taquin

  - new profiles: gnome-tetravex, blobwars,     gravity-beams-and-evaporating-stars

  - new profiles: hyperrogue, jumpnbump-menu, jumpnbump,     magicor, mindless

  - new profiles: mirrormagic, mrrescue, scorched3d-wrapper,     scorchwentbonkers

  - new profiles: seahorse-adventures, wordwarvi, xbill,     gnome-klotski

  - new profiles: swell-foop, fdns, five-or-more,     steam-runtime

  - new profiles: nicotine, plv, mocp, apostrophe,     quadrapassel, dino-im

  - new profiles: hitori, bijiben, gnote, gnubik, ZeGrapher,     xonotic-sdl-wrapper

  - new profiles: gapplication, openarena_ded,     element-desktop, cawbird

  - new profiles: freetube, strawberry, jitsi-meet-desktop

  - new profiles: homebank, mattermost-desktop, newsflash,     com.gitlab.newsflash

  - new profiles: sushi, xfce4-screenshooter,     org.gnome.NautilusPreviewer, lyx

  - new profiles: minitube, nuclear, mtpaint,     minecraft-launcher, gnome-calendar

  - new profiles: vmware, git-cola, otter-browser, kazam,     menulibre, musictube

  - new profiles: onboard, fractal, mirage, quaternion,     spectral, man, psi

  - new profiles: smuxi-frontend-gnome, balsa, kube,     trojita, youtube

  - new profiles: youtubemusic-nativefier, cola, dbus-send,     notify-send

  - new profiles: qrencode, ytmdesktop, twitch

  - new profiles: xournalpp, chromium-freeworld, equalx

  - Make the AppArmor profile compatible with AppArmor 3.0     (add missing include <tunables/global>)

Update to 0.9.62.4

  - fix AppArmor broken in the previous release

  - miscellaneous fixes

Update to 0.9.62.2

  - fix CVE-2020-17367

  - fix CVE-2020-17368

Roman Fiedler氏は、信頼できないアプリケーションの実行環境を制限するサンドボックスプログラムであるfirejailのOverlayFSコードに、root権限昇格を引き起こす可能性がある脆弱性を発見しました。この更新により、firejailでのOverlayFSサポートが無効になります。

Debian 9 'Stretch'では、この問題はバージョン0.9.44.8-2+deb9u2で修正されています。

お使いのfirejailパッケージをアップグレードすることを推奨します。

firejailの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/firejail

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このfirejail用の更新プログラムでは、次の問題が修正されています：

firejail 0.9.64.4はopenSUSE Leap 15.2に出荷されます

  - CVE-2021-26910：競合状態によるルート権限昇格を修正しました（boo#1181990）

0.9.64.4への更新：

  - 複数の修正を保留している、overlayfsを無効にしました

  - telegram-desktop.profileの開いているURLに対するFirefoxの起動を修正しました

0.9.64.2への更新：

  - 権限のないユーザーに対して$HOME内での--tmpfsを許可します

  - --disable-usertmpfs コンパイル時オプション

  - --protocol=bluetoothによるAF_BLUETOOTHを許可します

  - 新規ユーザー向けのセットアップガイド：contrib/firejail-welcome.sh

  - プロファイルにnetnsを実装します

  - nolocal6.net IPv6ネットワークフィルターを追加しました

  - 新しいプロファイル：spectacle、chromium-browser-privacy、gtk-straw-viewer、gtk-youtube-viewer、gtk2-youtube-viewer、gtk3-youtube-viewer、straw-viewer、lutris、dolphin-emu、authenticator-rs、servo、npm、marker、yarn、lsar、unar、agetpkg、mdr、shotwell、qnapi、新しいプロファイル：guvcview、pkglog、kdiff3、CoyIM。

バージョン 0.9.64 に更新してください：

  - firemonの--nowrapオプションを--wrapに置き換えました

  - seccompフィルターのブロックアクションが、プロセスの強制終了から呼び出し側にEPERMを返すように変更されました。以前の動作に戻すには、
    -seccomp-error-action=kill またはsyscall: kill構文をフィルターの構築時に使用するか、/etc/firejail/firejail.configファイルでオーバーライドします。

  - xdg-dbus-proxyによる粒度の細かいD-Busサンドボックス。
    D-Busアクセスが許可されない場合、xdg-dbus-proxyをインストールする必要があります。このバージョンでは、dbus-user noneおよびdbus-system noneを優先してnodbusが廃止され、将来のバージョンで削除されます。

  - DHCPクライアントのサポート

  - firecfgはsudoで起動した場合にのみdektop-filesを修正します

  - SELinuxラベルリングサポート

  - カスタム32ビットseccompフィルターのサポート

  - いくつかのプロファイルで $(RUNUSER)を制限します

  - いくつかのプロファイルでbashなどのシェルをブラックリストに追加します

  - グロビングをホワイトリストに追加します

  - /run/userディレクトリに対するmkdirおよびmkfileのサポート

  - includeに対するignoreをサポートします

  - コマンドラインでの--include

  - whitelist-players.incのメディアプレーヤーのホワイトリストを分割

  - 新しい条件：HAS_NOSOUND

  - 新しいプロファイル：gfeeds、firefox-x11、tvbrowser、rtv、clipgrab、muraster

  - 新しいプロファイル：gnome-passwordsafe、bibtex、gummi、latex、mupdf-x11-curl

  - 新しいプロファイル：pdflatex、tex、wpp、wpspdf、wps、et、multimc、mupdf-x11

  - 新しいプロファイル：gnome-hexgl、com.github.johnfactotum.Foliate、mupdf-gl、mutool

  - 新しいプロファイル：desktopeditors、impressive、planmaker18、planmaker18free

  - 新しいプロファイル：presentations18、presentations18free、textmaker18、teams

  - 新しいプロファイル：textmaker18free、xournal、gnome-screenshot、ripperX

  - 新しいプロファイル：sound-juicer、com.github.dahenson.agenda、gnome-pomodoro

  - 新しいプロファイル：gnome-todo、x2goclient、iagno、kmplayer、penguin-command

  - 新しいプロファイル：frogatto、gnome-mines、gnome-nibbles、lightsoff、warmux

  - 新しいプロファイル：ts3client_runscript.sh、ferdi、abiword、four-in-a-row

  - 新しいプロファイル：gnome-mahjongg、gnome-robots、gnome-sudoku、gnome-taquin

  - 新しいプロファイル：gnome-Tetravex、blobwars、gravity-beams-and-evaporating-stars

  - 新しいプロファイル：hyperrogue、jumpnbump-menu、jumpnbump、magicor、mindless

  - 新しいプロファイル：mirrormagic、mrrescue、scorched3d-wrapper、scorchwentbonkers

  - 新しいプロファイル：seahorse-adventures、wordwarvi、xbill、gnome-klotski

  - 新しいプロファイル：swell-foop、fdns、five-or-more、steam-runtime

  - 新しいプロファイル：nicotine、plv、mocp、apostrophe、quadrapassel、dino-im

  - 新しいプロファイル：hitori、bijiben、gnote、gnubik、ZeGrapher、xonotic-sdl-wrapper

  - 新しいプロファイル：gapplication、openarena_ded、element-desktop、cawbird

  - 新しいプロファイル：freetube、strawberry、jitsi-meet-desktop

  - 新しいプロファイル：homebank、mattermost-desktop、newsflash、com.gitlab.newsflash

  - 新しいプロファイル：sushi、xfce4-screenshooter、org.gnome.NautilusPreviewer、lyx

  - 新しいプロファイル：minitube、nuclear、mtpaint、minecraft-launcher、gnome-calendar

  - 新しいプロファイル：vmware、git-cola、otter-browser、kazam、menulibre、musictube

  - 新しいプロファイル：onboard、fractal、mirage、quaternion、spectral、man、psi

  - 新しいプロファイル：smuxi-frontend-gnome、balsa、kube、trojita、youtube

  - 新しいプロファイル：youtubemusic-nativefier、cola、dbus-send、notify-send

  - 新しいプロファイル：qrencode、ytmdesktop、twitch

  - 新しいプロファイル：xournalpp、chromium-freeworld、equalx

  - AppArmorプロファイルとAppArmor 3.0との互換性を確保します（欠落しているinclude <tunables/global>を追加します）

0.9.62.4への更新

  - 以前のリリースで破損したAppArmorを修正します

  - その他の修正

0.9.62.2への更新

  - CVE-2020-17367を修正します

  - CVE-2020-17368を修正します

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
157007	GLSA-202105-19 : Firejail: Privilege escalation	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	high
146357	Debian DSA-4849-1 : firejail - security update	Nessus	Debian Local Security Checks	2021/2/10	2024/1/22	high
155220	Ubuntu 20.04 LTS : Firejail vulnerability (USN-5141-1)	Nessus	Ubuntu Local Security Checks	2021/11/11	2024/8/28	high
157007	GLSA-202105-19：Firejail：權限提升	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	high
157007	GLSA-202105-19：Firejail：权限提升	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	high
146357	DebianDSA-4849-1：firejail - セキュリティ更新	Nessus	Debian Local Security Checks	2021/2/10	2024/1/22	high
155220	Ubuntu 20.04LTS：Firejail の脆弱性 (USN-5141-1)	Nessus	Ubuntu Local Security Checks	2021/11/11	2024/8/28	high
155220	Ubuntu 20.04 LTS：Firejail 弱點 (USN-5141-1)	Nessus	Ubuntu Local Security Checks	2021/11/11	2024/8/28	high
155220	Ubuntu 20.04 LTS：Firejail 漏洞 (USN-5141-1)	Nessus	Ubuntu Local Security Checks	2021/11/11	2024/8/28	high
146357	Debian DSA-4849-1：firejail - 安全性更新	Nessus	Debian Local Security Checks	2021/2/10	2024/1/22	high
146466	Debian DLA-2554-1：firejail 安全性更新	Nessus	Debian Local Security Checks	2021/2/12	2024/1/22	high
146357	Debian DSA-4849-1：firejail - 安全更新	Nessus	Debian Local Security Checks	2021/2/10	2024/1/22	high
146466	Debian DLA-2554-1：firejail 安全更新	Nessus	Debian Local Security Checks	2021/2/12	2024/1/22	high
146466	Debian DLA-2554-1 : firejail security update	Nessus	Debian Local Security Checks	2021/2/12	2024/1/22	high
146524	openSUSE Security Update : firejail (openSUSE-2021-271)	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	critical
146466	DebianDLA-2554-1：firejailのセキュリティ更新	Nessus	Debian Local Security Checks	2021/2/12	2024/1/22	high
146524	openSUSEセキュリティ更新プログラム：firejail（openSUSE-2021-271）	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	critical

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

critical

high

critical