The remote CentOS Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the CESA-2022:6542 advisory.

  - Archive_Tar: allows an unserialization attack because phar: is blocked but PHAR: is not blocked     (CVE-2020-28948)

  - Archive_Tar: improper filename sanitization leads to file overwrites (CVE-2020-28949)

  - Archive_Tar: directory traversal due to inadequate checking of symbolic links (CVE-2020-36193)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Ubuntu 14.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-6981-2 advisory.

    USN-6981-1 fixed vulnerabilities in Drupal. This update provides the corresponding updates for Ubuntu     14.04 LTS.



Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.75 的 7.x，低于 8.8.12 的 8.x、低于 8.9.10 的 8.9.x 或低于 9.0.9 的 9.0.x。因此，该应用程序受到多个漏洞的影响：

  - Archive_Tar 1.4.10 及之前的版本允许反序列化攻击，这是因为 phar: 被阻断，但 PHAR: 未被阻断。(CVE-2020-28948)

  - Archive_Tar 1.4.10 及之前的版本具有：// 文件名审查，仅用于解决 phar 攻击，所以其他任何 stream-wrapper 攻击（如 file: //，用于覆盖文件）仍可成功执行。(CVE-2020-28949)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的测试产品版本低于测试版本。因此，如公告 ALAS2-2021-1584 所述，该主机受到多个漏洞的影响。

  - Archive_Tar 1.4.10 及之前的版本允许反序列化攻击，这是因为 phar: 被阻断，但 PHAR: 未被阻断。(CVE-2020-28948)

  - Archive_Tar 1.4.10 及之前的版本具有：// 文件名审查，仅用于解决 phar 攻击，所以其他任何 stream-wrapper 攻击（如 file: //，用于覆盖文件）仍可成功执行。(CVE-2020-28949)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 php7-pear 版本低于 1.10.12-4.30。因此，如公告 ALAS-2021-1466 所述，该主机受到多个漏洞的影响。

  - Archive_Tar 1.4.10 及之前的版本允许反序列化攻击，这是因为 phar: 被阻断，但 PHAR: 未被阻断。(CVE-2020-28948)

  - Archive_Tar 1.4.10 及之前的版本具有：// 文件名审查，仅用于解决 phar 攻击，所以其他任何 stream-wrapper 攻击（如 file: //，用于覆盖文件）仍可成功执行。(CVE-2020-28949)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机受到 GLSA-202101-23 中所述漏洞的影响（PEAR Archive_Tar：目录遍历）

    在 PEAR Archive_Tar 中发现多个漏洞。
      请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

远程 CentOS Linux 8 主机上安装的多个程序包受到 CESA-2022: 6542 公告中提及的多个漏洞影响。

  - Archive_Tar：允许反序列化攻击，这是因为 phar: 被阻断，但 PHAR: 未被阻断 (CVE-2020-28948)

  - Archive_Tar：不当的文件名审查导致文件覆盖 (CVE-2020-28949)

  - Archive_Tar：符号链接检查不充分而导致目录遍历 (CVE-2020-36193)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS 主机上安装的一个程序包受到 USN-6981-2 公告中提及的多个漏洞影响。

    USN-6981-1 修复了 Drupal 中的漏洞。此更新提供针对 Ubuntu 14.04 LTS 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
165202	CentOS 8 : php:7.4 (CESA-2022:6542)	Nessus	CentOS Local Security Checks	9/15/2022	2/8/2023	high
206479	Ubuntu 14.04 LTS : Drupal vulnerabilities (USN-6981-2)	Nessus	Ubuntu Local Security Checks	9/3/2024	9/4/2024	high
143274	Drupal 7.x < 7.75 / 8.x < 8.8.12 / 8.9.x < 8.9.10 / 9.0.x < 9.0.9 多个漏洞 (SA-CORE-2020-013)	Nessus	CGI abuses	11/27/2020	8/29/2022	high
144803	Amazon Linux 2：php-pear (ALAS-2021-1584)	Nessus	Amazon Linux Local Security Checks	1/7/2021	12/11/2024	high
145000	Amazon Linux AMI：php7-pear (ALAS-2021-1466)	Nessus	Amazon Linux Local Security Checks	1/14/2021	12/11/2024	high
145432	GLSA-202101-23 : PEAR Archive_Tar：目录遍历	Nessus	Gentoo Local Security Checks	1/26/2021	8/30/2022	high
165202	CentOS 8：php: 7.4 (CESA-2022: 6542)	Nessus	CentOS Local Security Checks	9/15/2022	2/8/2023	high
206479	Ubuntu 14.04 LTS：Drupal 漏洞 (USN-6981-2)	Nessus	Ubuntu Local Security Checks	9/3/2024	9/4/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high