The remote Fedora 38 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-48123e7aae advisory.

    Backport fix for CVE-2024-34069.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2024:1624-2 advisory.

    - CVE-2024-34069: Fixed a remote code execution through debugger when interacting with attacker controlled     domain (bsc#1223979).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by a vulnerability as referenced in the dla-4062 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-4062-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                           Chris Lamb     February 21, 2025                             https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : python-werkzeug     Version        : 1.0.1+dfsg1-2+deb11u2     CVE ID         : CVE-2024-34069     Debian Bug     : 1070711

    It was discovered that there was a potential remote code execution     vulnerability in python-werkzeug, a library used to create WSGI-based     web applications in Python.

    This attack required the attacker to manipulate a developer into     interacting with a domain & subdomain they control as well as enter     the debugger PIN. But if successful, it would have allowed full     access to the debugger, even if the server was only running on     localhost.

    For Debian 11 bullseye, this problem has been fixed in version     1.0.1+dfsg1-2+deb11u2.

    We recommend that you upgrade your python-werkzeug packages.

    For the detailed security status of python-werkzeug please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/python-werkzeug

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2024:6016 advisory.

    Red Hat OpenShift Container Platform is Red Hat's cloud computing Kubernetes application platform solution     designed for on-premise or private cloud deployments.

    This advisory contains the RPM packages for Red Hat OpenShift Container Platform 4.15.30. See the     following advisory for the container images for this release:

    https://access.redhat.com/errata/RHSA-2024:6013

    Security Fix(es):

    * python-werkzeug: user may execute code on a developer's machine     (CVE-2024-34069)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    All OpenShift Container Platform 4.15 users are advised to upgrade to these updated packages and images     when they are available in the appropriate release channel. To check for available updates, use the     OpenShift CLI (oc) or web console. Instructions for upgrading a cluster are available at     https://docs.openshift.com/container-platform/4.15/updating/updating_a_cluster/updating-cluster-cli.html

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES12/ SLES_SAP12 ホストには、SUSE-SU-2024:1572-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Werkzeug は、包括的な WSGI Web アプリケーションライブラリです。影響を受ける Werkzeug のバージョンのデバッガーは、特定の状況下で攻撃者が開発者のマシンでコードを実行できる可能性があります。これには、攻撃者が開発者に操作させ、攻撃者がコントロールするドメインとサブドメインに対してデバッガー PIN を入力させる必要がありますが、仮に成功すれば、それがローカルホスト上で実行されている場合でもデバッガーへのアクセスが許可されます。
    また、これには攻撃者が開発者のアプリケーション内でデバッガーを引き起こす可能性のある URL を推測する必要もあります。この脆弱性は 3.0.3 で修正されました。(CVE-2024-34069)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:1608-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Werkzeug は、包括的な WSGI Web アプリケーションライブラリです。影響を受ける Werkzeug のバージョンのデバッガーは、特定の状況下で攻撃者が開発者のマシンでコードを実行できる可能性があります。これには、攻撃者が開発者に操作させ、攻撃者がコントロールするドメインとサブドメインに対してデバッガー PIN を入力させる必要がありますが、仮に成功すれば、それがローカルホスト上で実行されている場合でもデバッガーへのアクセスが許可されます。
    また、これには攻撃者が開発者のアプリケーション内でデバッガーを引き起こす可能性のある URL を推測する必要もあります。この脆弱性は 3.0.3 で修正されました。(CVE-2024-34069)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2024-48123e7aae のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2024-34069 の修正をバックポートします。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2024:1624-2 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-34069: 攻撃者が制御するドメインとやり取りする際に、デバッガーからリモートでコードが実行される問題を修正しました (bsc#1223979)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2024:6016 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat OpenShift Container Platform は、オンプレミスまたはプライベートクラウド展開用に設計された、Red Hat のクラウドコンピューティング Kubernetes アプリケーションプラットフォームソリューションです。

    このアドバイザリには、Red Hat OpenShift Container Platform 4.15.30 の RPM パッケージが含まれています。このリリースのコンテナイメージについては、次のアドバイザリを参照してください。

    https://access.redhat.com/errata/RHSA-2024:6013

    セキュリティ修正プログラム:

    * python-werkzeug: ユーザーが開発者のマシンでコードを実行する可能性があります (CVE-2024-34069)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    すべての OpenShift Container Platform 4.15 ユーザーは、適切なリリースチャネルで利用可能な場合に、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。利用可能な更新をチェックするには、OpenShift CLI (oc) または Web コンソールを使用します。クラスターのアップグレード手順については、https://docs.openshift.com/container-platform/4.15/updating/updating_a_cluster/updating-cluster-cli.html を参照してください

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4062 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4062-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 2 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ: python-werkzeug バージョン: 1.0.1+dfsg1-2+deb11u2 CVE ID: CVE-2024-34069 Debian バグ: 1070711

    WSGI ベースのウェブアプリケーションを Python で作成するために使用されるライブラリである python-werkzeug に、リモートでコードが実行される脆弱性があることが発見されました。

    この攻撃では、攻撃者が開発者を操作して、デバッガー PIN を入力するだけでなく、開発者が制御するドメインおよびサブドメインとやり取りできるようにする必要がありました。しかし、成功した場合は、サーバーがローカルホストでのみ実行されていたとしても、デバッガーへのフルアクセスが許可されていました。

    Debian 11 bullseye において、この問題はバージョン 1.0.1+dfsg1-2+deb11u2 で修正されました。

    お使いの python-werkzeug パッケージをアップグレードすることを推奨します。

    python-werkzeug の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/python-werkzeug

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
197497	Fedora 38 : mingw-python-werkzeug (2024-48123e7aae)	Nessus	Fedora Local Security Checks	5/19/2024	8/6/2024	high
200755	SUSE SLED15 / SLES15 Security Update : python-Werkzeug (SUSE-SU-2024:1624-2)	Nessus	SuSE Local Security Checks	6/20/2024	6/20/2024	high
216606	Debian dla-4062 : python-werkzeug-doc - security update	Nessus	Debian Local Security Checks	2/21/2025	2/21/2025	high
206653	RHEL 9 : OpenShift Container Platform 4.15.30 (RHSA-2024:6016)	Nessus	Red Hat Local Security Checks	9/5/2024	11/7/2024	high
195289	SUSE SLES12 セキュリティ更新 : python-Werkzeug (SUSE-SU-2024:1572-1)	Nessus	SuSE Local Security Checks	5/10/2024	5/10/2024	high
195337	SUSE SLES15/openSUSE 15 セキュリティ更新: python-Werkzeug (SUSE-SU-2024:1608-1)	Nessus	SuSE Local Security Checks	5/11/2024	5/11/2024	high
197497	Fedora 38 : mingw-python-werkzeug (2024-48123e7aae)	Nessus	Fedora Local Security Checks	5/19/2024	8/6/2024	high
200755	SUSE SLED15/SLES15 セキュリティ更新: python-Werkzeug (SUSE-SU-2024:1624-2)	Nessus	SuSE Local Security Checks	6/20/2024	6/20/2024	high
206653	RHEL 9: OpenShift Container Platform 4.15.30 (RHSA-2024:6016)	Nessus	Red Hat Local Security Checks	9/5/2024	11/7/2024	high
216606	Debian dla-4062: python-werkzeug-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2/21/2025	2/21/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high