According to its self-reported version, the instance of Drupal running on the remote web server is 9.2.x prior to 9.2.16 or 9.3.x prior to 9.3.9. It is, therefore, affected by an improper header parsing due to its usage of a third party component, Guzzle library for handling HTTP requests and responses to external services. An attacker could sneak in a new line character and pass untrusted values.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根据其自我报告的版本，远程 web 服务器上运行的 Drupal 实例为低于 9.2.16 的 9.2.x 版本，或低于 9.3.9 的 9.3.x 版本。因而会受到一个不当标头解析的影响，这是由于其使用第三方组件 Guzzle 库来处理 HTTP 请求及对外部服务的响应所致。攻击者可能会偷偷加入换行符并传递不受信任的值。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Drupal 執行個體是早於 9.2.16 的 9.2.x 版或早於 9.3.9 的 9.3.x 版。因此，它會受到不當標頭剖析弱點的影響，這是因為它使用第三方元件 Guzzle 程式庫處理 HTTP 要求和外部服務回應。攻擊者可偷偷加入新行字元並傳遞不受信任的值。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.2.16 より前の 9.2.x、または 9.3.9 より前の 9.3.x です。したがって、サードパーティのコンポーネントである HTTP リクエストと外部サービスへの応答を処理する Guzzle ライブラリを使用しているため、不適切なヘッダー解析の影響を受けます。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

According to its self-reported version, the instance of Drupal running on the remote web server is 9.2.x prior to 9.2.16 or 9.3.x prior to 9.3.9. It is, therefore, affected by a vulnerability.

  - guzzlehttp/psr7 is a PSR-7 HTTP message library. Versions prior to 1.8.4 and 2.1.1 are vulnerable to     improper header parsing. An attacker could sneak in a new line character and pass untrusted values. The     issue is patched in 1.8.4 and 2.1.1. There are currently no known workarounds. (CVE-2022-24775)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Ubuntu 20.04 LTS / 22.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-6670-1 advisory.

    It was discovered that php-guzzlehttp-psr7 incorrectly parsed HTTP headers. A remote attacker could     possibly use these issues to perform an HTTP header injection attack.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3705 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3705-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     December 31, 2023                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : php-guzzlehttp-psr7     Version        : 1.4.2-0.1+deb10u2     CVE ID         : CVE-2023-29197     Debian Bug     : 1034581

    It was discovered that php-guzzlehttp-psr7, a PSR-7 message     implementation, performed improper header parsing, which may lead to     information disclosure or authorization bypass.

    An attacker could sneak in a newline (\n) into both the header names and     values.  While the specification states that \r\n\r\n is used to     terminate the header list, many servers in the wild will also accept     \n\n.

    This is a follow-up to CVE-2022-24775 where the fix was incomplete.

    For Debian 10 buster, these problems have been fixed in version     1.4.2-0.1+deb10u2.

    We recommend that you upgrade your php-guzzlehttp-psr7 packages.

    For the detailed security status of php-guzzlehttp-psr7 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/php-guzzlehttp-psr7

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.2.16より前の 9.2.x、または 9.3.9より前の 9.3.xです。したがって、脆弱性の影響を受けます。

  - guzzlehttp/psr7 は PSR-7 HTTP メッセージライブラリです。1.8.4および 2.1.1より前のバージョンは、不適切なヘッダー解析に対して脆弱です。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。この問題には、1.8.4 および 2.1.1でパッチが適用されています。現在、既知の回避策はありません。(CVE-2022-24775)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Ubuntu 20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-6670-1 公告中所提及的多個弱點影響。

  - guzzlehttp/psr7 是一個 PSR-7 HTTP 訊息程式庫。 1.8.4 和 2.1.1 之前的版本容易受到不當剖析標頭弱點的影響。攻擊者可偷偷加入新行字元並傳遞不受信任的值。此問題已在 1.8.4 和 2.1.1 版中修正。目前尚無已知的因應措施。(CVE-2022-24775)

  - guzzlehttp/psr7 是一個在 PHP 中實作的 PSR-7 HTTP 訊息程式庫。受影響的版本容易遭到不當標頭剖析。攻擊者可在標頭名稱和值中偷偷加入新行 (\n)。
    雖然規格說明 \r\n\r\n 用於終止標頭清單，但許多環境中的伺服器也會接受 \n\n。這是 CVE-2022-24775 的後續行動，其中修正不完整。此問題已在 1.9.1 和 2.4.5 版本中修正。目前沒有任何因應措施可解決此弱點。建議使用者進行升級。(CVE-2023-29197)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Drupal 執行個體是早於 9.2.16 的 9.2.x 版或早於 9.3.9 的 9.3.x 版。因此，會受到一個弱點影響。

  - guzzlehttp/psr7 是一個 PSR-7 HTTP 訊息程式庫。 1.8.4 和 2.1.1 之前的版本容易受到不當剖析標頭弱點的影響。攻擊者可偷偷加入新行字元並傳遞不受信任的值。此問題已在 1.8.4 和 2.1.1 版中修正。目前尚無已知的因應措施。(CVE-2022-24775)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Ubuntu 20.04 LTS / 22.04 LTS ホストには、USN-6670-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - guzzlehttp/psr7 は PSR-7 HTTP メッセージライブラリです。1.8.4および 2.1.1より前のバージョンは、不適切なヘッダー解析に対して脆弱です。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。この問題には、1.8.4 と 2.1.1 でパッチが適用されています。現在、既知の回避策はありません。(CVE-2022-24775)

  - guzzlehttp/psr7 は、PHP の PSR-7 HTTP メッセージライブラリの実装です。影響を受けるバージョンは、不適切なヘッダー解析の対象となります。攻撃者が改行 (\n) でヘッダー名と値の両方に忍び込む可能性があります。
    仕様では、ヘッダーリストの終了に \r\n\r\n を使用することになっているが、出回っている多くのサーバーも \n\n を受け入れます。これは、修正が不完全だった CVE-2022-24775 へのフォローアップです。この問題には、バージョン 1.9.1 および 2.4.5 でパッチが適用されています。この脆弱性に対する既知の回避策はありません。ユーザーにアップグレードすることを推奨します。(CVE-2023-29197)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 20.04 LTS / 22.04 LTS 主机上安装的程序包受到 USN-6670-1 公告中提及的多个漏洞的影响。

  - guzzlehttp/psr7 是一个 PSR-7 HTTP 消息库。 1.8.4 和 2.1.1 之前的版本容易受到不当标头解析的影响。攻击者可能会偷偷加入换行符并传递不受信任的值。已在 1.8.4 和 2.1.1 版本中修复此问题。目前尚无已知的变通方案。(CVE-2022-24775)

  - guzzlehttp/psr7 是 PHP 中的一个 PSR-7 HTTP 消息库实现。受影响版本会受到不当标头解析的影响。攻击者可将换行符 (\n) 偷偷添加到标头名称和值中。
    尽管规范指出应使用 \r\n\r\n 来终止标头列表，但许多在现实环境中的服务器也会接受 \n\n。这是对 CVE-2022-24775 的后续补充，原修复并不完整。此问题已在 1.9.1 和 2.4.5 版本中得到修补。目前尚无针对此漏洞的解决方案。建议用户进行升级。(CVE-2023-29197)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

根据其自我报告的版本，远程 web 服务器上运行的 Drupal 实例为低于 9.2.16 的 9.2.x 版本，或低于 9.3.9 的 9.3.x 版本。因此，该操作系统受到漏洞的影响。

  - guzzlehttp/psr7 是一个 PSR-7 HTTP 消息库。 1.8.4 和 2.1.1 之前的版本容易受到不当标头解析的影响。攻击者可能会偷偷加入换行符并传递不受信任的值。已在 1.8.4 和 2.1.1 版本中修复此问题。目前尚无已知的变通方案。(CVE-2022-24775)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113209	Drupal 9.2.x < 9.2.16 Third-Party Library Vulnerability	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113209	Drupal 9.2.x< 9.2.16 第三方库漏洞	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113209	Drupal 9.2.x < 9.2.16 第三方程式庫弱點	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113209	Drupal 9.2.x < 9.2.16 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x < 9.3.9 Third-Party Library Vulnerability	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x < 9.3.9 第三方程式庫弱點	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x< 9.3.9 第三方库漏洞	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x < 9.3.9 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
159145	Drupal 9.2.x < 9.2.16 / 9.3.x < 9.3.9 Drupal Vulnerability (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high
191432	Ubuntu 20.04 LTS / 22.04 LTS : php-guzzlehttp-psr7 vulnerabilities (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/8/27	high
214474	Debian dla-3705 : php-guzzlehttp-psr7 - security update	Nessus	Debian Local Security Checks	2025/1/22	2025/1/22	high
159145	Drupal 9.2.x< 9.2.16/ 9.3.x< 9.3.9Drupal の脆弱性 (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high
191432	Ubuntu 20.04 LTS/22.04 LTS：php-guzzlehttp-psr7 弱點 (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/8/27	high
159145	Drupal 9.2.x < 9.2.16 / 9.3.x < 9.3.9 Drupal 弱點 (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high
191432	Ubuntu 20.04 LTS / 22.04 LTS : php-guzzlehttp-psr7 の脆弱性 (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/8/27	high
191432	Ubuntu 20.04 LTS / 22.04 LTS：php-guzzlehttp-psr7 漏洞 (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/8/27	high
159145	Drupal 9.2.x < 9.2.16 / 9.3.x < 9.3.9 Drupal 漏洞 (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high