Two vulnerabilities were discovered in yaws, a high performance HTTP 1.1 webserver written in Erlang.

  - CVE-2020-24379     The WebDAV implementation is prone to a XML External     Entity (XXE) injection vulnerability.

  - CVE-2020-24916     The CGI implementation does not properly sanitize CGI     requests allowing a remote attacker to execute arbitrary     shell commands via specially crafted CGI executable     names.

Two issues have been found in yaws, a high performance HTTP 1.1 webserver written in Erlang.

CVE-2020-24379 Reject external resource requests in DAV in order to avoid XML External Entity (XXE) attackes.

CVE-2020-24916 Sanitize CGI executable in order to avoid command injection via CGI requests.

For Debian 9 stretch, these problems have been fixed in version 2.0.4+dfsg-1+deb9u1.

We recommend that you upgrade your yaws packages.

For the detailed security status of yaws please refer to its security tracker page at: https://security-tracker.debian.org/tracker/yaws

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Erlangで記述された高パフォーマンスHTTP 1.1 Webサーバーであるyawsに、2つの問題が見つかりました。

CVE-2020-24379 XML外部エンティティ（XXE）攻撃を回避するために、DAVで外部リソースリクエストを拒否します。

CVE-2020-24916 CGIリクエスト経由のコマンドインジェクションを回避するために、CGI実行可能ファイルをサニタイズします。

Debian 9「Stretch」では、これらの問題はバージョン2.0.4+dfsg-1+deb9u1で修正されています。

お使いのyawsパッケージをアップグレードすることを推奨します。

yawsの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/yaws

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 yaws 中發現兩個問題， yaws 是以 Erlang 撰寫的高效能 HTTP 1.1 webserver。

  - CVE-2020-24379 WebDAV 實作容易受到 XML 外部實體 (XXE) 插入弱點影響。

  - CVE-2020-24916 CGI 實作未正確清理 CGI 要求，允許遠端攻擊者透過特製的 CGI 可執行檔名稱執行任意 shell 命令。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - CGI implementation in Yaws web server versions 1.81 to 2.0.7 is vulnerable to OS command injection.
    (CVE-2020-24916)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Ubuntu 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4569-1 advisory.

    It was discovered that Yaws did not properly sanitize XML input. A remote attacker could use this     vulnerability to execute an XML External Entity (XXE) injection attack. (CVE-2020-24379)

    It was discovered that Yaws mishandled certain input when running CGI scripts. A remote attacker could use     this vulnerability to execute arbitrary commands. (CVE-2020-24916)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

在 yaws 中发现两个问题，yaws 是以 Erlang 编写的高性能 HTTP 1.1 Web 服务器。

CVE-2020-24379 拒绝 DAV 中的外部资源请求，避免 XML 外部实体 (XXE) 攻击。

CVE-2020-24916 审查 CGI 可执行文件，避免经 CGI 请求造成命令注入。

针对 Debian 9 stretch，这些问题已在 2.0.4+dfsg-1+deb9u1 版本中修复。

我们建议您升级 yaws 程序包。

如需了解 yaws 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/yaws

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Yaws ウェブサーバーのバージョンが1.81〜2.0.7の CGI 実装は、OS コマンドインジェクションに対して脆弱です。
    (CVE-2020-24916)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのUbuntu 18.04 LTSホストには、USN-4569-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Yaws Webサーバーのバージョンが1.81〜2.0.7のWebDAV実装は、XXEインジェクションに対して脆弱です。
    （CVE-2020-24379）

  - Yaws Webサーバーのバージョンが1.81〜2.0.7のCGI実装は、OSコマンドインジェクションに対して脆弱です。
    （CVE-2020-24916）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

在 yaws 中發現兩個問題， yaws 是以 Erlang 撰寫的高效能 HTTP 1.1 webserver。

CVE-2020-24379 拒絕 DAV 中的外部資源要求，以避免 XML 外部實體 (XXE) 攻擊。

CVE-2020-24916 清理 CGI 可執行檔，以避免透過 CGI 要求插入命令。

針對 Debian 9「Stretch」，已在 2.0.4+dfsg-1+deb9u1 版本中修正這些問題。

建議您升級 yaws 套件。

如需有關 yaws 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/yaws

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Erlangで記述された高パフォーマンスHTTP 1.1 Webサーバーであるyawsに、2つの脆弱性が見つかりました。

  - CVE-2020-24379 WebDAVの実装は、XML外部エンティティ（XXE）インジェクションの脆弱性の影響を受けやすくなっています。

  - CVE-2020-24916 CGI実装がCGIリクエストを適切にサニタイズしないため、リモートの攻撃者は、特別に細工されたCGI実行ファイル名を介して任意のシェルコマンドを実行できます。

在 yaws 中发现两个漏洞，yaws 是以 Erlang 编写的高性能 HTTP 1.1 Web 服务器。

  - CVE-2020-24379 WebDAV 实现容易受到 XML 外部实体 (XXE) 注入漏洞的影响。

  - CVE-2020-24916 CGI 实现未正确审查 CGI 请求，允许远程攻击者通过特别构建的 CGI 可执行文件名称执行任意 shell 命令。

远程 Ubuntu 18.04 LTS 主机上安装的程序包受到 USN-4569-1 公告中提及的多个漏洞的影响。

  - Yaws Web 服务器 1.81 至 2.0.7 版本中的 WebDAV 实现容易受到 XXE 注入的影响。
    (CVE-2020-24379)

  - Yaws Web 服务器 1.81 至 2.0.7 版本中的 CGI 实现容易受到 OS 命令注入的影响。
    (CVE-2020-24916)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Yaws Web 服务器 1.81 至 2.0.7 版本中的 CGI 实现容易受到 OS 命令注入的影响。
    (CVE-2020-24916)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Ubuntu 18.04 LTS 主機已安裝套件，這些套件會受 USN-4569-1 公告中所提及的多個弱點影響。

  - Yaws Web 伺服器 1.81 至 2.0.7版本中的 WebDAV 實作容易受到 XXE 插入影響。
    (CVE-2020-24379)

  - Yaws Web 伺服器 1.81 至 2.0.7 版本中的 CGI 實作容易受到 OS 命令插入影響。
    (CVE-2020-24916)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Yaws Web 伺服器 1.81 至 2.0.7 版本中的 CGI 實作容易受到 OS 命令插入影響。
    (CVE-2020-24916)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
141511	Debian DSA-4773-1 : yaws - security update	Nessus	Debian Local Security Checks	2020/10/19	2024/2/15	critical
140810	Debian DLA-2384-1 : yaws security update	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	critical
140810	Debian DLA-2384-1: yawsセキュリティ更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	critical
141511	Debian DSA-4773-1：yaws - 安全性更新	Nessus	Debian Local Security Checks	2020/10/19	2024/2/15	critical
256202	Linux Distros Unpatched Vulnerability : CVE-2020-24916	Nessus	Misc.	2025/8/27	2025/8/27	critical
141181	Ubuntu 18.04 LTS : Yaws vulnerabilities (USN-4569-1)	Nessus	Ubuntu Local Security Checks	2020/10/5	2024/8/27	critical
140810	Debian DLA-2384-1：yaws 安全更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	critical
256202	Linux Distros のパッチ未適用の脆弱性: CVE-2020-24916	Nessus	Misc.	2025/8/27	2025/8/27	critical
141181	Ubuntu 18.04 LTS：Yawsの脆弱性（USN-4569-1）	Nessus	Ubuntu Local Security Checks	2020/10/5	2024/8/27	critical
140810	Debian DLA-2384-1：yaws 安全性更新	Nessus	Debian Local Security Checks	2020/9/28	2024/2/20	critical
141511	Debian DSA-4773-1: yaws - セキュリティ更新	Nessus	Debian Local Security Checks	2020/10/19	2024/2/15	critical
141511	Debian DSA-4773-1：yaws - 安全更新	Nessus	Debian Local Security Checks	2020/10/19	2024/2/15	critical
141181	Ubuntu 18.04 LTS：Yaws 漏洞 (USN-4569-1)	Nessus	Ubuntu Local Security Checks	2020/10/5	2024/8/27	critical
256202	Linux Distros 未修补的漏洞：CVE-2020-24916	Nessus	Misc.	2025/8/27	2025/8/27	critical
141181	Ubuntu 18.04 LTS：Yaws 弱點 (USN-4569-1)	Nessus	Ubuntu Local Security Checks	2020/10/5	2024/8/27	critical
256202	Linux Distros 未修補的弱點：CVE-2020-24916	Nessus	Misc.	2025/8/27	2025/8/27	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical