根据其自我报告的版本，远程 web 服务器上运行的 Drupal 实例为低于 9.2.16 的 9.2.x 版本，或低于 9.3.9 的 9.3.x 版本。因而会受到一个不当标头解析的影响，这是由于其使用第三方组件 Guzzle 库来处理 HTTP 请求及对外部服务的响应所致。攻击者可能会偷偷加入换行符并传递不受信任的值。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程 20.04 LTS / 22.04 LTS 主机上安装的程序包受到 USN-6670-1 公告中提及的多个漏洞的影响。

  - guzzlehttp/psr7 是一个 PSR-7 HTTP 消息库。 1.8.4 和 2.1.1 之前的版本容易受到不当标头解析的影响。攻击者可能会偷偷加入换行符并传递不受信任的值。已在 1.8.4 和 2.1.1 版本中修复此问题。目前尚无已知的变通方案。(CVE-2022-24775)

  - guzzlehttp/psr7 是 PHP 中的一个 PSR-7 HTTP 消息库实现。受影响版本会受到不当标头解析的影响。攻击者可将换行符 (\n) 偷偷添加到标头名称和值中。
    尽管规范指出应使用 \r\n\r\n 来终止标头列表，但许多在现实环境中的服务器也会接受 \n\n。这是对 CVE-2022-24775 的后续补充，原修复并不完整。此问题已在 1.9.1 和 2.4.5 版本中得到修补。目前尚无针对此漏洞的解决方案。建议用户进行升级。(CVE-2023-29197)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

根据其自我报告的版本，远程 web 服务器上运行的 Drupal 实例为低于 9.2.16 的 9.2.x 版本，或低于 9.3.9 的 9.3.x 版本。因此，该操作系统受到漏洞的影响。

  - guzzlehttp/psr7 是一个 PSR-7 HTTP 消息库。 1.8.4 和 2.1.1 之前的版本容易受到不当标头解析的影响。攻击者可能会偷偷加入换行符并传递不受信任的值。已在 1.8.4 和 2.1.1 版本中修复此问题。目前尚无已知的变通方案。(CVE-2022-24775)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113209	Drupal 9.2.x< 9.2.16 第三方库漏洞	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x< 9.3.9 第三方库漏洞	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
191432	Ubuntu 20.04 LTS / 22.04 LTS：php-guzzlehttp-psr7 漏洞 (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/8/27	high
159145	Drupal 9.2.x < 9.2.16 / 9.3.x < 9.3.9 Drupal 漏洞 (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high

检测

插件搜索

high

high

high

high