Amazon Linux 2：xdg-utils (ALAS-2023-2002)

high Nessus 插件 ID 173234

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 xdg-utils 版本低于 1.1.0-0.17.20120809git。因此，它受到公告 ALAS2-2023-2002 中提及的多个漏洞影响。

- 在 xdg-utils-1.1.0-rc1 及更新版本的 xdg-email 组件中发现一个缺陷。处理 mailto: URI 时，xdg-email 允许在向 Thunderbird 传递附件的同时通过 URI 谨慎添加。攻击者可能会向受害者发送一个 URI，该 URI 会自动将敏感文件附加到新的电子邮件中。如果受害用户未注意到附件已添加而发送了电子邮件，则可能导致敏感信息泄漏。经确认，此问题背后的代码存在于 xdg-email 而不是 Thunderbird 中。(CVE-2020-27748)

- 当 xdg-mail 被配置为对 mailto URL 使用 Thunderbird 时，未正确解析 URL 会导致其他标头被传递给 Thunderbird，而根据 RFC 2368 的要求，这些标头不应包含在内。使用此方法，攻击者可创建对用户而言看似安全但实际点击却会附加文件的 mailto URL。(CVE-2022-4055)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。