- Ver. 1.2.1 (security bugfix release)

    - Unbundle snappy (see rhbz #871149)

    - Add _isa to the Requires

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its banner, the version of CouchDB running on the remote host is earlier than 1.0.4, 1.1.x earlier than 1.1.2 or 1.2.x earlier than 1.2.1.  It is, therefore, potentially affected by the following vulnerabilities :

  - An unspecified error exists in the included MochiWeb     HTTP library that can allow access to arbitrary files     via directory traversal attacks. Note that reportedly,     this issue only affects installs on Windows hosts.
    (CVE-2012-5641)

  - An error related to JSONP callbacks can allow an     unspecified cross-site scripting attack. (CVE-2012-5649)

  - An input validation error exists related to unspecified     query parameters and the Futon UI that can allow DOM-     based cross-site scripting attacks. (CVE-2012-5650)

Note that Nessus did not actually test for these flaws but instead, has relied on the version in CouchDB's banner.

- バージョン1.2.1（セキュリティバグ修正リリース）

- snappy のアンバンドル（rhbz #871149 を参照）

- Requires へ _isa を追加

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

バナーによると、リモートホストで実行されている CouchDB のバージョンが、1.0.4 より前、または 1.1.2 より前の 1.1.x、あるいは 1.2.1 より前の 1.2.x です。このため、以下の脆弱性の影響を受ける可能性があります。

- 含まれている MochiWebHTTP ライブラリに、詳細不明なエラーが存在しています。これにより、ディレクトリトラバーサル攻撃で任意のファイルへのアクセスが行われる可能性があります。注意：この問題は、Windows ホスト上のインストールのみに影響を与えることが報告されています。
 (CVE-2012-5641)

- JSON コールバックに関連したエラーにより、詳細不明なクロスサイトスクリプティング攻撃を引き起こす可能性があります。(CVE-2012-5649)

- 詳細不明なクエリパラメーターおよび Futon UI に関連した、入力検証エラーが存在しています。これにより、DOM ベースのクロスサイトスクリプティング攻撃が引き起こす可能性があります。(CVE-2012-5650)

注意：Nessus では、実際には、これらの欠陥をテストしておらず、その代わりに CouchDB のバナーに表示されるバージョンを頼りにしています。

根据其标题，远程主机上运行的 CouchDB 版本为低于 1.0.4、低于 1.1.2 的 1.1.x 或低于 1.2.1 的 1.2.x。因此，它可能会受到以下漏洞的影响：

- 随附的 MochiWeb HTTP 库中存在不明错误，可允许通过目录遍历攻击访问任意文件。请注意，据报告，此问题仅影响 Windows 主机上的安装。
 (CVE-2012-5641)

- 与 JSONP 回调相关的错误可允许不明跨站脚本攻击。(CVE-2012-5649)

- 存在与不明查询参数和 Futon UI 有关的输入验证错误，可允许基于 DOM 的跨站脚本攻击。(CVE-2012-5650)

请注意，Nessus 未对这些缺陷进行实际测试，而是依赖 CouchDB 标题中的版本。

- 版本1.2.1（安全缺陷补丁版）

- 解除捆绑 snappy（请参阅 rhbz #871149）

- 将 _isa 添加到 Requires

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- 版本1.2.1 (安全性錯誤修正版本)

- 不隨附 snappy (請參閱 rhbz #871149)

- 將 _isa 新增至 Requires

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Updated couchdb packages fix security vulnerabilities :

A security flaw was found in the way Apache CouchDB, a distributed,fault- tolerant and schema-free document-oriented database accessible via a RESTful HTTP/JSON API, processed certain JSON callback. A remote attacker could provide a specially crafted JSON callback that, when processed could lead to arbitrary JSON code execution via Adobe Flash (CVE-2012-5649).

A DOM based cross-site scripting (XSS) flaw was found in the way browser- based test suite of Apache CouchDB, a distributed, fault-tolerant and schema-free document-oriented database accessible via a RESTful HTTP/JSON API, processed certain query parameters. A remote attacker could provide a specially crafted web page that, when accessed could lead to arbitrary web script or HTML execution in the context of a CouchDB user session (CVE-2012-5650).

根據其標題，遠端主機上執行的 CouchDB 版本為 1.0.4 之前的版本、1.1.2 之前的 1.1.x 版，或是 1.2.1 之前的 1.2.x 版。因此可能受到以下弱點影響：

- 隨附的 MochiWeb HTTP 程式庫存在一個不明錯誤，可允許透過目錄遊走攻擊存取任意檔案。請注意，據報只有 Windows 主機上的安裝項目會受此問題影響。
 (CVE-2012-5641)

- 存在一個與 JSONP 回呼相關的錯誤，可允許不明的跨網站指令碼攻擊。(CVE-2012-5649)

- 存在一個與不明查詢參數和 Futon UI 相關的輸入驗證錯誤，其可允許 DOM 型跨網站指令碼攻擊。(CVE-2012-5650)

請注意，Nessus 並未實際測試這些瑕疵，而是僅依據 CouchDB 標題上的版本。

更新済みの couchdb パッケージにより、セキュリティの脆弱性が修正されます：

RESTful HTTP/JSON API によってアクセスできる分散型のフォールトトレラントでスキーマフリーのドキュメント指向データベースである Apache CouchDB が、特定の JSON コールバックを処理する方法で、セキュリティの欠陥が見つかりました。リモートの攻撃者が、特別に細工された JSON コールバックを提供し、これが処理されると、Adobe Flash によって任意の JSON コードの実行を引き起こす可能性があります（CVE-2012-5649）。

RESTful HTTP/JSON API によってアクセスできる分散型のフォールトトレラントでスキーマフリーのドキュメント指向データベースであり、ブラウザベースのテストパッケージである Apache CouchDB が、特定のクエリパラメーターを処理する方法で、DOM ベースのクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が特別に細工された Web ページを提供し、アクセスされると、CouchDB ユーザーセッションのコンテキストで任意の Web スクリプトまたは HTML の実行につながる可能性があります（CVE-2012-5650）。

更新后的 couchdb 程序包修复了安全漏洞：

在 Apache CouchDB（可通过 RESTful HTTP/JSON API 访问的分布式、容错且模式自由的面向文档的数据库）处理某种 JSON 回调的方式中发现一个安全缺陷。远程攻击者可提供特别构建的 JSON 回调，当处理该回调时，可通过 Adobe Flash 导致任意 JSON 代码执行 (CVE-2012-5649)。

在 Apache CouchDB（可通过 RESTful HTTP/JSON API 访问的分布式、容错且模式自由的面向文档的数据库）的基于浏览器的测试套件处理某些查询参数的方式中发现一个基于 DOM 的跨站脚本 (XSS) 缺陷。远程攻击者可提供特别构建的网页，访问该网页时可导致在 CouchDB 用户会话的上下文中执行任意 Web 脚本或 HTML (CVE-2012-5650)。

更新版 couchdb 套件可修正安全性弱點：

在 Apache CouchDB 處理特定 JSON 回呼的方式中發現一個安全性瑕疵，Apache CouchDB 是一種可透過 RESTful HTTP/JSON API 存取的分散式、容錯且無配置的文件導向資料庫。遠端攻擊者可提供特製的 JSON 回呼，系統處理該回呼時，可導致任意 JSON 程式碼透過 Adobe Flash 執行 (CVE-2012-5649)。

在 Apache CouchDB 的瀏覽器型測試套件處理特定查詢參數的方式中發現一個 DOM 型跨網站指令碼 (XSS) 瑕疵，Apache CouchDB 是一種可透過 RESTful HTTP/JSON API 存取的分散式、容錯且無配置的文件導向資料庫。遠端攻擊者可提供特製的網頁，系統處理該網頁時，可導致任意 web 指令碼或 HTML 在 CouchDB 使用者工作階段的內容中執行 (CVE-2012-5650)。

The remote host is running CouchDB, a document-oriented database.  

Versions of CouchDB earlier than 1.0.4, 1.1.x earlier than 1.1.2 or 1.2.x earlier than 1.2.1. It is therefore potentially affected by the following vulnerabilities :

  - An unspecified error exists in the included MochiWeb HTTP library that can allow access to arbitrary files via directory traversal attacks. Note that reportedly, this issue only affects installs on Windows hosts. (CVE-2012-5641)

  - An error related to JSONP callbacks can allow an unspecified cross-site scripting attack. (CVE-2012-5649)

  - An input validation error exists related to unspecified query parameters and the Futon UI that can allow DOM-based cross-site scripting attacks. (CVE-2012-5650)

Versions of CouchDB earlier than 1.0.4, 1.1.x earlier than 1.1.2 or 1.2.x earlier than 1.2.1. It is therefore potentially affected by the following vulnerabilities :

  - An unspecified error exists in the included MochiWeb HTTP library that can allow access to arbitrary files via directory traversal attacks. Note that reportedly, this issue only affects installs on Windows hosts. (CVE-2012-5641)

  - An error related to JSONP callbacks can allow an unspecified cross-site scripting attack. (CVE-2012-5649)

  - An input validation error exists related to unspecified query parameters and the Futon UI that can allow DOM-based cross-site scripting attacks. (CVE-2012-5650)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64413	Fedora 17 : couchdb-1.2.1-2.fc17 (2013-1387)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
63642	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 Multiple Vulnerabilities	Nessus	Databases	2013/1/22	2019/12/4	medium
64413	Fedora 17：couchdb-1.2.1-2.fc17（2013-1387）	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
63642	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 の複数の脆弱性	Nessus	Databases	2013/1/22	2019/12/4	medium
63642	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 多种漏洞	Nessus	Databases	2013/1/22	2019/12/4	medium
64413	Fedora 17：couchdb-1.2.1-2.fc17 (2013-1387)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
64413	Fedora 17 : couchdb-1.2.1-2.fc17 (2013-1387)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
64411	Fedora 18 : couchdb-1.2.1-2.fc18 (2013-1375)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
66081	Mandriva Linux Security Advisory : couchdb (MDVSA-2013:067)	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
63642	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 多個弱點	Nessus	Databases	2013/1/22	2019/12/4	medium
64411	Fedora 18：couchdb-1.2.1-2.fc18（2013-1375）	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
66081	Mandriva Linux セキュリティアドバイザリ：couchdb（MDVSA-2013:067）	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
66081	Mandriva Linux 安全公告：couchdb (MDVSA-2013:067)	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
64411	Fedora 18：couchdb-1.2.1-2.fc18 (2013-1375)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
66081	Mandriva Linux 安全性公告：couchdb (MDVSA-2013:067)	Nessus	Mandriva Local Security Checks	2013/4/20	2021/1/6	medium
64411	Fedora 18 : couchdb-1.2.1-2.fc18 (2013-1375)	Nessus	Fedora Local Security Checks	2013/2/4	2021/1/11	medium
6796	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 Multiple Vulnerabilities	Nessus Network Monitor	Database	2013/5/8	2019/3/6	low
800632	Apache CouchDB < 1.0.4 / 1.1.2 / 1.2.1 Multiple Vulnerabilities	Log Correlation Engine	Database	2013/5/8		medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

low

medium