The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The shell-quote package before 1.7.3 for Node.js allows command injection. An attacker can inject     unescaped shell metacharacters through a regex designed to support Windows drive letters. If the output of     this package is passed to a real shell as a quoted argument to a command with exec(), an attacker can     inject arbitrary commands. This is because the Windows drive letter regex character class is {A-z] instead     of the correct {A-Za-z]. Several shell metacharacters exist in the space between capital letter Z and     lower case letter a, such as the backtick character. (CVE-2021-42740)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js 用の 1.7.3 より前の shell-quote パッケージでは、コマンドインジェクションが可能です。攻撃者は、Windows ドライブ文字をサポートするように設計された正規表現を介して、エスケープされていないシェルメタ文字を注入できます。このパッケージの出力が、exec() を持つコマンドに対する引用符付き引数として実際のシェルに渡されると、攻撃者が任意のコマンドを注入する可能性があります。これは、Windows ドライブ文字の正規表現文字クラスが、正しい {A-Za-z] ではなく {Az] であるためです。大文字の Z と小文字の a の間のスペースに、backtick 文字などの複数のシェルメタ文字が存在します。(CVE-2021-42740)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Node.js 的 1.7.3 之前的 shell-quote 套件允許命令插入。攻擊者可透過支援 Windows 磁碟機號的 regex 插入未逸出的 shell 詮釋字元。如果將此套件的輸出傳遞至真正的 shell作為具有 exec() 之命令的引用引數攻擊者可插入任意命令。這是因為 Windows 磁碟機號 regex 字元類別是 {Az] 而不是正確的 {A-Za-z]。幾個 shell 詮釋字元存在於大寫字母 Z 和小寫字母 a 之間的空格中例如反引號字元。 (CVE-2021-42740)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 的 1.7.3 之前的 shell-quote 程序包允许命令注入。攻击者可通过设计用于支持 Windows 驱动器号的 regex 注入非转义的 shell 元字符。如果将此程序包的输出作为使用 exec() 的命令的引用参数传递到实际 shell攻击者可注入任意命令。这是因为 Windows 驱动器号 regex 字符类为 {Az]而非正确的 {A-Za-z]。大写字母 Z 与小写字母 a 之间的空格例如反引号字符中存在多个 shell 元字符。 (CVE-2021-42740)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3750-1 advisory.

  - The shell-quote package before 1.7.3 for Node.js allows command injection. An attacker can inject     unescaped shell metacharacters through a regex designed to support Windows drive letters. If the output of     this package is passed to a real shell as a quoted argument to a command with exec(), an attacker can     inject arbitrary commands. This is because the Windows drive letter regex character class is {A-z] instead     of the correct {A-Za-z]. Several shell metacharacters exist in the space between capital letter Z and     lower case letter a, such as the backtick character. (CVE-2021-42740)

  - In Async before 2.6.4 and 3.x before 3.2.2, a malicious user can obtain privileges via the mapValues()     method, aka lib/internal/iterator.js createObjectIterator prototype pollution. (CVE-2021-43138)

  - moment is a JavaScript date library for parsing, validating, manipulating, and formatting dates. Affected     versions of moment were found to use an inefficient parsing algorithm. Specifically using string-to-date     parsing in moment (more specifically rfc2822 parsing, which is tried by default) has quadratic (N^2)     complexity on specific inputs. Users may notice a noticeable slowdown is observed with inputs above 10k     characters. Users who pass user-provided strings without sanity length checks to moment constructor are     vulnerable to (Re)DoS attacks. The problem is patched in 2.29.4, the patch can be applied to all affected     versions with minimal tweaking. Users are advised to upgrade. Users unable to upgrade should consider     limiting date lengths accepted from user input. (CVE-2022-31129)

  - drools <=7.59.x is affected by an XML External Entity (XXE) vulnerability in KieModuleMarshaller.java. The     Validator class is not used correctly, resulting in the XXE injection vulnerability. (CVE-2021-41411)

  - Improper Authorization in GitHub repository cobbler/cobbler prior to 3.3.2. (CVE-2022-0860)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3761-1 advisory.

  - drools <=7.59.x is affected by an XML External Entity (XXE) vulnerability in KieModuleMarshaller.java. The     Validator class is not used correctly, resulting in the XXE injection vulnerability. (CVE-2021-41411)

  - The shell-quote package before 1.7.3 for Node.js allows command injection. An attacker can inject     unescaped shell metacharacters through a regex designed to support Windows drive letters. If the output of     this package is passed to a real shell as a quoted argument to a command with exec(), an attacker can     inject arbitrary commands. This is because the Windows drive letter regex character class is {A-z] instead     of the correct {A-Za-z]. Several shell metacharacters exist in the space between capital letter Z and     lower case letter a, such as the backtick character. (CVE-2021-42740)

  - In Async before 2.6.4 and 3.x before 3.2.2, a malicious user can obtain privileges via the mapValues()     method, aka lib/internal/iterator.js createObjectIterator prototype pollution. (CVE-2021-43138)

  - Improper Authorization in GitHub repository cobbler/cobbler prior to 3.3.2. (CVE-2022-0860)

  - moment is a JavaScript date library for parsing, validating, manipulating, and formatting dates. Affected     versions of moment were found to use an inefficient parsing algorithm. Specifically using string-to-date     parsing in moment (more specifically rfc2822 parsing, which is tried by default) has quadratic (N^2)     complexity on specific inputs. Users may notice a noticeable slowdown is observed with inputs above 10k     characters. Users who pass user-provided strings without sanity length checks to moment constructor are     vulnerable to (Re)DoS attacks. The problem is patched in 2.29.4, the patch can be applied to all affected     versions with minimal tweaking. Users are advised to upgrade. Users unable to upgrade should consider     limiting date lengths accepted from user input. (CVE-2022-31129)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES15ホストには、SUSE-SU-2022:3750-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js 用の 1.7.3 より前の shell-quote パッケージでは、コマンドインジェクションが可能です。攻撃者は、Windows ドライブ文字をサポートするように設計された正規表現を介して、エスケープされていないシェルメタ文字を注入できます。このパッケージの出力が、exec() を持つコマンドに対する引用符付き引数として実際のシェルに渡されると、攻撃者が任意のコマンドを注入する可能性があります。これは、Windows ドライブ文字の正規表現文字クラスが、正しい {A-Za-z] ではなく {Az] であるためです。大文字の Z と小文字の a の間のスペースに、backtick 文字などの複数のシェルメタ文字が存在します。(CVE-2021-42740)

  - 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

  - moment は日付を解析、検証、操作、およびフォーマットするための JavaScript 日付ライブラリです。影響を受けるバージョンのモーメントが、非効率的な解析アルゴリズムを使用していることが判明しました。具体的には、moment で string-to-date 解析 (より具体的には、デフォルトで試行される rfc2822 解析) を使用すると、特定の入力が二次 (N^2) の複雑さになります。ユーザーは、10000 文字を超える入力で顕著な減速が見られることに気付く場合があります。ユーザー提供の文字列をサニティ長さをチェックせずにモーメントコンストラクターに渡すユーザーは、(Re) DoS 攻撃に脆弱です。この問題は 2.29.4でパッチされており、このパッチは影響を受けるすべてのバージョンに最小限の調整で適用できます。ユーザーにアップグレードすることを推奨します。アップグレードできないユーザーは、ユーザー入力から受け入れられる日付の長さを制限することを検討する必要があります。(CVE-2022-31129)

  - drools <=7.59.x では、KieModuleMarshaller.java の XML 外部エンティティ (XXE) の脆弱性の影響を受けます。Validator クラスが正しく使用されていないため、XXE インジェクションの脆弱性が発生します。(CVE-2021-41411)

  - 3.3.2 より前の GitHub リポジトリ cobbler/cobbler での不適切な認証。(CVE-2022-0860)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15ホストには、SUSE-SU-2022:3761-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - drools <=7.59.x では、KieModuleMarshaller.java の XML 外部エンティティ (XXE) の脆弱性の影響を受けます。Validator クラスが正しく使用されていないため、XXE インジェクションの脆弱性が発生します。(CVE-2021-41411)

  - Node.js 用の 1.7.3 より前の shell-quote パッケージでは、コマンドインジェクションが可能です。攻撃者は、Windows ドライブ文字をサポートするように設計された正規表現を介して、エスケープされていないシェルメタ文字を注入できます。このパッケージの出力が、exec() を持つコマンドに対する引用符付き引数として実際のシェルに渡されると、攻撃者が任意のコマンドを注入する可能性があります。これは、Windows ドライブ文字の正規表現文字クラスが、正しい {A-Za-z] ではなく {Az] であるためです。大文字の Z と小文字の a の間のスペースに、backtick 文字などの複数のシェルメタ文字が存在します。(CVE-2021-42740)

  - 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

  - 3.3.2 より前の GitHub リポジトリ cobbler/cobbler での不適切な認証。(CVE-2022-0860)

  - moment は日付を解析、検証、操作、およびフォーマットするための JavaScript 日付ライブラリです。影響を受けるバージョンのモーメントが、非効率的な解析アルゴリズムを使用していることが判明しました。具体的には、moment で string-to-date 解析 (より具体的には、デフォルトで試行される rfc2822 解析) を使用すると、特定の入力が二次 (N^2) の複雑さになります。ユーザーは、10000 文字を超える入力で顕著な減速が見られることに気付く場合があります。ユーザー提供の文字列をサニティ長さをチェックせずにモーメントコンストラクターに渡すユーザーは、(Re) DoS 攻撃に脆弱です。この問題は 2.29.4でパッチされており、このパッチは影響を受けるすべてのバージョンに最小限の調整で適用できます。ユーザーにアップグレードすることを推奨します。アップグレードできないユーザーは、ユーザー入力から受け入れられる日付の長さを制限することを検討する必要があります。(CVE-2022-31129)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
258969	Linux Distros Unpatched Vulnerability : CVE-2021-42740	Nessus	Misc.	2025/8/30	2025/8/30	critical
258969	Linux Distros のパッチ未適用の脆弱性: CVE-2021-42740	Nessus	Misc.	2025/8/30	2025/8/30	critical
258969	Linux Distros 未修補的弱點：CVE-2021-42740	Nessus	Misc.	2025/8/30	2025/8/30	critical
258969	Linux Distros 未修补的漏洞：CVE-2021-42740	Nessus	Misc.	2025/8/30	2025/8/30	critical
181673	SUSE SLES15 Security Update : SUSE Manager Proxy 4.3 (SUSE-SU-2022:3750-1)	Nessus	SuSE Local Security Checks	2023/9/20	2023/9/20	critical
181674	SUSE SLES15 Security Update : release-notes-susemanager, release-notes-susemanager-proxy (SUSE-SU-2022:3761-1)	Nessus	SuSE Local Security Checks	2023/9/20	2023/9/20	critical
181673	SUSE SLES15 セキュリティ更新プログラム : SUSE Manager Proxy 4.3 (SUSE-SU-2022:3750-1)	Nessus	SuSE Local Security Checks	2023/9/20	2023/9/20	critical
181674	SUSE SLES15 セキュリティ更新プログラム : release-notes-susemanager、release-notes-susemanager-proxy (SUSE-SU-2022:3761-1)	Nessus	SuSE Local Security Checks	2023/9/20	2023/9/20	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical