Amazon Linux 2：jetty (ALAS-2024-2394)
medium Nessus 插件 ID 187825
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
因此，该应用程序受到 ALAS2-2024-2394 公告中提及的漏洞的影响。- Eclipse Jetty Canonical 存储库是 Jetty 项目的规范存储库。具有非常具体的命令结构的 CgiServlet 的用户可能会执行错误的命令。如果用户向 org.eclipse.jetty.servlets.CGI Servlet 发送名称中包含空格的二进制文件的请求，Servlet 则会用引号将命令封装以转义该命令。随后，系统将通过调用 Runtime.exec 来执行此封装命令以及可选命令前缀。如果用户提供的原始二进制文件名称中包含后跟一个空格的引号，则生成的命令行将包含多个标记，而非一个。已在 9.4.52、10.0.16、11.0.16 和 12.0.0-beta2 版本中修复此问题。
(CVE-2023-36479)
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“yum update jetty”以更新系统。另见
https://alas.aws.amazon.com/AL2/ALAS-2024-2394.html
插件详情
严重性: Medium
ID: 187825
文件名: al2_ALAS-2024-2394.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2024/1/9
最近更新时间: 2024/1/10
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 2.2
CVSS v2
风险因素: Medium
基本分数: 4
时间分数: 3.1
矢量: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N
CVSS 分数来源: CVE-2023-36479
CVSS v3
风险因素: Medium
基本分数: 4.3
时间分数: 3.9
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:amazon:linux:jetty-websocket-common, p-cpe:/a:amazon:linux:jetty-websocket-parent, p-cpe:/a:amazon:linux:jetty-websocket-server, p-cpe:/a:amazon:linux:jetty-websocket-servlet, p-cpe:/a:amazon:linux:jetty-xml, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:jetty-annotations, p-cpe:/a:amazon:linux:jetty-ant, p-cpe:/a:amazon:linux:jetty-client, p-cpe:/a:amazon:linux:jetty-continuation, p-cpe:/a:amazon:linux:jetty-deploy, p-cpe:/a:amazon:linux:jetty-http, p-cpe:/a:amazon:linux:jetty-io, p-cpe:/a:amazon:linux:jetty-jaas, p-cpe:/a:amazon:linux:jetty-jaspi, p-cpe:/a:amazon:linux:jetty-javadoc, p-cpe:/a:amazon:linux:jetty-jmx, p-cpe:/a:amazon:linux:jetty-jndi, p-cpe:/a:amazon:linux:jetty-jsp, p-cpe:/a:amazon:linux:jetty-jspc-maven-plugin, p-cpe:/a:amazon:linux:jetty-maven-plugin, p-cpe:/a:amazon:linux:jetty-monitor, p-cpe:/a:amazon:linux:jetty-plus, p-cpe:/a:amazon:linux:jetty-project, p-cpe:/a:amazon:linux:jetty-proxy, p-cpe:/a:amazon:linux:jetty-rewrite, p-cpe:/a:amazon:linux:jetty-runner, p-cpe:/a:amazon:linux:jetty-security, p-cpe:/a:amazon:linux:jetty-server, p-cpe:/a:amazon:linux:jetty-servlet, p-cpe:/a:amazon:linux:jetty-servlets, p-cpe:/a:amazon:linux:jetty-start, p-cpe:/a:amazon:linux:jetty-util, p-cpe:/a:amazon:linux:jetty-util-ajax, p-cpe:/a:amazon:linux:jetty-webapp, p-cpe:/a:amazon:linux:jetty-websocket-api, p-cpe:/a:amazon:linux:jetty-websocket-client
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2024/1/3
漏洞发布日期: 2023/9/14
参考资料信息
CVE: CVE-2023-36479