在提供以竖线“|”开头的文件名时，Ruby Rake < 12.3.3 的 Rake: : FileList 中存在操作系统命令注入漏洞。(CVE-2020-8130)

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 4702 公告中提及的多个漏洞影响。

  - python-ecdsa：签名解码期间发生非预期且未记录的异常 (CVE-2019-14853)

  - python-ecdsa：未在签名中验证 DER 编码 (CVE-2019-14859)

  - rubygem-activerecord-session_store：使用针对会话 id 的时序攻击劫持会话 (CVE-2019-25025)

  - PyYAML：不完整的 CVE-2020-1747 修复 (CVE-2020-14343)

  - rubygem-nokogiri：通过 Nokogiri: : XML: : Schema 造成 XML 外部实体注入 (CVE-2020-26247)

  - rake：通过 Rake: : FileList 中的 egrep 造成 OS 命令注入 (CVE-2020-8130)

  - guava：通过使用不安全权限创建的临时目录泄露本地信息 (CVE-2020-8908)

  - Satellite：通过 API 造成 BMC 控制器凭据泄露 (CVE-2021-20256)

  - python-aiohttp：aiohttp.web_middlewares.normalize_path_middleware 中存在开放重定向 (CVE-2021-21330)

  - rubygem-actionpack：Action Pack 中可能存在信息泄露/非预期方法执行 (CVE-2021-22885)

  - rails：Action Dispatch 中可能存在拒绝服务漏洞 (CVE-2021-22902)

  - rails：Action Controller Token Authentication 中可能存在 DoS 漏洞 (CVE-2021-22904)

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-28658)

  - rubygem-puma：对 CVE-2019-16770 的修复不完整，可导致拒绝服务 (DoS) (CVE-2021-29509)

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-31542)

  - rubygem-addressable：模板中存在 ReDoS (CVE-2021-32740)

  - django：通过“admindocs”可能造成目录遍历 (CVE-2021-33203)

  - python-urllib3: 解析 URL 授权部分时出现 ReDoS (CVE-2021-33503)

  - django：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击 (CVE-2021-33571)

  - Satellite：向经过身份验证的用户泄露 Azure 计算资源 secret_key (CVE-2021-3413)

  - foreman：smart_proxy realm_freeipa 中可能存在中间人漏洞 (CVE-2021-3494)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在版本低于 12.3.3 的 Rake（类似 ruby 的实用工具）中，如果提供的文件名以管道字符“|”开头，Rake::FileList 则会发生 OS 命令注入漏洞。

对于 Debian 8“Jessie”，已在版本 10.3.2-2+deb8u1 中修复此问题。

我们建议您升级 rake 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

发现 Rake 未能正确处理某些文件。攻击者可能利用此问题执行任意命令。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
138056	Amazon Linux AMI：rubygem-rake (ALAS-2020-1384)	Nessus	Amazon Linux Local Security Checks	2020/7/2	2024/12/11	medium
155377	RHEL 7：Satellite 6.10 版本（中等）(RHSA-2021: 4702)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/11/7	critical
138057	Amazon Linux AMI：rubygem24-rake (ALAS-2020-1385)	Nessus	Amazon Linux Local Security Checks	2020/7/2	2024/12/11	medium
134093	Debian DLA-2120-1：rake 安全更新	Nessus	Debian Local Security Checks	2020/2/27	2024/3/25	medium
134300	Ubuntu 16.04 LTS / 18.04 LTS：Rake 漏洞 (USN-4295-1)	Nessus	Ubuntu Local Security Checks	2020/3/6	2024/8/27	medium

检测

插件搜索

medium

critical

medium

medium

medium