根据其自我报告的版本号，远程主机上运行的 CKAN 应用程序版本低于 2.9.9，或是低于 2.10.1 的 2.10.x。因此，该主机受到多个漏洞的影响：

- resource_create 和 package_update 操作中存在任意文件写入，并会使用 ResourceUploader 对象。也可通过调用 package_update 通过 package_create、package_revise 和 package_patch 访问。- 配置为使用文件会话存储后端时，Beaker 的会话存储会通过不安全的 pickle 加载造成远程代码。- 由于对资源 id 缺少长度检查而导致的潜在 DOS。- 信息泄露：具有创建资源权限的用户如果知道该 ID，则可以访问系统中的任何其他资源，即使他们没有该资源的访问权限。- 资源覆盖：具有创建资源权限的用户如果知道该 ID，则可以覆盖任何资源，即使他们没有该资源的访问权限。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 CKAN 版本低于 2.9.9 或为低于 2.10.1 的 2.10 版。因此，该操作系统受到远程代码执行漏洞的影响。具有创建或编辑数据集权限的远程攻击者可使用特制的 ID 上传资源，从而在任意位置写入上传的文件。这可被用于通过 Beker 不安全的 pickle 加载进行远程代码执行。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113954	CKAN < 2.9.9 多个漏洞	Web App Scanning	Component Vulnerability	2023/6/7	2023/6/7	critical
113955	CKAN 2.10.x < 2.10.1 多个漏洞	Web App Scanning	Component Vulnerability	2023/6/7	2023/6/7	critical
176633	CKAN < 2.9.9 / 2.10.1 RCE	Nessus	CGI abuses	2023/6/2	2023/6/5	critical

检测

插件搜索

critical

critical

critical