The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-2570-1 advisory.

    An issue was discovered in the HTML parser in Blink. If a user were tricked in to opening a specially     crafted website, an attacker could potentially exploit this to bypass same-origin restrictions.
    (CVE-2015-1235)

    An issue was discovered in the Web Audio API implementation in Blink. If a user were tricked in to opening     a specially crafted website, an attacker could potentially exploit this to bypass same-origin     restrictions. (CVE-2015-1236)

    A use-after-free was discovered in Chromium. If a user were tricked in to opening a specially crafted     website, an attacker could potentially exploit this to cause a denial of service via renderer crash, or     execute arbitrary code with the privileges of the sandboxed render process. (CVE-2015-1237)

    An out-of-bounds write was discovered in Skia. If a user were tricked in to opening a specially crafted     website, an attacker could potentially exploit this to cause a denial of service via application crash or     execute arbitrary code with the privileges of the user invoking the program. (CVE-2015-1238)

    An out-of-bounds read was discovered in the WebGL implementation. If a user were tricked in to opening a     specially crafted website, an attacker could potentially exploit this to cause a denial of service via     renderer crash. (CVE-2015-1240)

    An issue was discovered with the interaction of page navigation and touch event handling. If a user were     tricked in to opening a specially crafted website, an attacker could potentially exploit this to conduct     tap jacking attacks. (CVE-2015-1241)

    A type confusion bug was discovered in V8. If a user were tricked in to opening a specially crafted     website, an attacker could potentially exploit this to cause a denial of service via renderer crash, or     execute arbitrary code with the privileges of the sandboxed render process. (CVE-2015-1242)

    It was discovered that websocket connections were not upgraded whenever a HSTS policy is active. A remote     attacker could potentially exploit this to conduct a machine-in-the-middle (MITM) attack. (CVE-2015-1244)

    An out-of-bounds read was discovered in Blink. If a user were tricked in to opening a specially crafted     website, an attacker could potentially exploit this to cause a denial of service via renderer crash.
    (CVE-2015-1246)

    Multiple security issues were discovered in Chromium. If a user were tricked in to opening a specially     crafted website, an attacker could potentially exploit these to read uninitialized memory, cause a denial     of service via application crash or execute arbitrary code with the privileges of the user invoking the     program. (CVE-2015-1249)

    A use-after-free was discovered in the file picker implementation. If a user were tricked in to opening a     specially crafted website, an attacker could potentially exploit this to cause a denial of service via     application crash or execute arbitrary code with the privileges of the user invoking the program.
    (CVE-2015-1321)

    Multiple security issues were discovered in V8. If a user were tricked in to opening a specially crafted     website, an attacker could potentially exploit these to read uninitialized memory, cause a denial of     service via renderer crash or execute arbitrary code with the privileges of the sandboxed render process.
    (CVE-2015-3333)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2570-1 公告中提及的多个漏洞影响。

    在 Blink 中的 HTML 解析器中发现了一个问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此问题绕过同源限制。
    (CVE-2015-1235)

    在 Blink 中的 Web Audio API 实现中发现了一个问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此问题绕过同源限制。(CVE-2015-1236)

    已发现 Chromium 中存在一个释放后使用错误。如果用户受到诱骗打开特别构建的网站，攻击者便可能利用此缺陷，通过使渲染器崩溃造成拒绝服务，或以沙盒渲染进程的权限执行任意代码。(CVE-2015-1237)

    在 Skia 中发现了越界写入。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞，通过使应用程序崩溃造成拒绝服务，或者以调用程序的用户的权限执行任意代码。(CVE-2015-1238)

    在 WebGL 实现中发现了越界读取。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此缺陷通过渲染器崩溃造成拒绝服务。(CVE-2015-1240)

    在页面导航与触摸事件处理之间的交互中发现了一个问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞进行“触屏劫持”攻击。(CVE-2015-1241)

    在 V8 中发现类型混淆缺陷。如果用户受到诱骗打开特别构建的网站，攻击者便可能利用此缺陷，通过使渲染器崩溃造成拒绝服务，或以沙盒渲染进程的权限执行任意代码。(CVE-2015-1242)

    已发现只要 HSTS 策略处于活动状态，就不升级 websocket 连接。远程攻击者可能利用此漏洞发动中间机 (MITM) 攻击。(CVE-2015-1244)

    在 Blink 中发现越界读取。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此缺陷通过渲染器崩溃造成拒绝服务。
    (CVE-2015-1246)

    在 Chromium 中发现多个安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些漏洞，读取未初始化的内存，通过使应用程序崩溃造成拒绝服务，或以调用程序的用户的权限执行任意代码。(CVE-2015-1249)

    在文件选择器实现中发现了一个释放后使用。如果用户受到诱骗打开特别构建的网站，攻击者可能利用此漏洞，通过使应用程序崩溃造成拒绝服务，或者以调用程序的用户的权限执行任意代码。
    (CVE-2015-1321)

    在 V8 中发现多种安全问题。如果能够欺骗用户打开特别构建的网站，攻击者可能利用这些缺陷，通过使渲染器崩溃来读取未初始化的内存并造成拒绝服务，或者以沙盒渲染进程的权限执行任意代码。
    (CVE-2015-3333)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Ubuntu 14.04 LTS ホストには、USN-2570-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Blink での HTML パーサーに問題が発見されました。ユーザーが騙されて、特別に細工された Web サイトを開くと、攻撃者がこれを悪用し、同一生成元の制限をバイパスする可能性があります。
    (CVE-2015-1235)

    Blink での Web Audio API の実装に問題が発見されました。ユーザーが騙されて、特別に細工された Web サイトを開くと、攻撃者がこれを悪用し、同一生成元の制限をバイパスする可能性があります。(CVE-2015-1236)

    Chromium に use-after-free 脆弱性が発見しました。ユーザーが騙され、特別に細工された Web サイトを開いた場合、攻撃者が、これを悪用して、レンダラーのクラッシュによりサービス拒否を引き起こしたり、サンドボックス型レンダリングプロセスの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1237)

    Skia に領域外書き込みが発見されました。ユーザーが騙されて特別に細工された Web サイトを開くと、攻撃者がこれを悪用し、アプリケーションのクラッシュによりサービス拒否を引き起こしたり、プログラムを起動しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1238)

    WebGL の実装に領域外読み取りが発見されました。ユーザーが騙されて特別に細工された Web サイトを開くと、攻撃者がこれを悪用して、レンダラーのクラッシュによりサービス拒否を引き起こす可能性があります。(CVE-2015-1240)

    ページナビゲーションおよびタッチイベント処理の相互作用に問題が発見されました。ユーザーが騙されて特別に細工された Web サイトを開くと、攻撃者はこれを悪用して「タップジャッキング」攻撃を行う可能性があります。(CVE-2015-1241)

    型の取り違え (Type Confusion) のバグが V8 に発見しました。ユーザーが騙され、特別に細工された Web サイトを開いた場合、攻撃者が、これを悪用して、レンダラーのクラッシュによりサービス拒否を引き起こしたり、サンドボックス型レンダリングプロセスの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1242)

    HSTS ポリシーが有効な場合、websocket 接続はアップグレードされないことが判明しました。リモートの攻撃者が、これを悪用して、中間マシン (MITM) 攻撃を実行する可能性があります。(CVE-2015-1244)

    Blink に、領域外読み取りが発見されました。ユーザーが騙され、特別に細工された Web サイトを開いた場合、攻撃者が、これを悪用して、レンダラーのクラッシュによりサービス拒否を引き起こす可能性があります。
    (CVE-2015-1246)

    複数のセキュリティの問題が Chromium で発見されました。ユーザーが騙されて特別に細工された Web サイトを開くと、攻撃者がこれらを悪用し、初期化されていないメモリを読み取ったり、アプリケーションのクラッシュによりサービス拒否を引き起こしたり、プログラムを呼び出すユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1249)

    ファイルピッカーの実装に use-after-free が発見されました。ユーザーが騙されて、特別に細工された Web サイトを開くと、攻撃者がこれを悪用し、アプリケーションのクラッシュでサービス拒否を引き起こしたり、プログラムを起動しているユーザーの権限で任意のコードを実行したりする可能性があります。
    (CVE-2015-1321)

    V8 で、複数のセキュリティの問題が発見されました。ユーザーが騙され、特別に細工された Web サイトを開いた場合、攻撃者が、これらを悪用し、初期化されていないメモリの読み取り、レンダラークラッシュによるサービス拒否、またはサンドボックス型レンダリングプロセスの権限を使用した任意のコードの実行を引き起こす可能性があります。
    (CVE-2015-3333)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2570-1 公告中所提及的多個弱點影響。

    在 Blink 的 HTML 剖析器中發現一個問題。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能加以惡意利用而繞過同源限制。
    (CVE-2015-1235)

    在 Blink 的 Web Audio API 實作中發現一個問題。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能加以惡意利用而繞過同源限制。(CVE-2015-1236)

    在 Chromium 中發現釋放後使用。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過轉譯器損毀來造成拒絕服務，或以沙箱化轉譯處理程序的權限執行任意程式碼。(CVE-2015-1237)

    在 Skia 中發現一個超出邊界寫入瑕疵。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或可能以叫用該程式的使用者權限執行任意程式碼。(CVE-2015-1238)

    在 WebGL 實作中發現一個超出邊界讀取瑕疵。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能會加以惡意利用，透過轉譯器損毀來造成拒絕服務。(CVE-2015-1240)

    在頁面導覽和 touch 事件處理的互動中發現一個問題。如果使用者遭誘騙而開啟特製的網站，攻擊者可能會利用此問題來發動「點選劫持」攻擊。(CVE-2015-1241)

    在 V8 中發現一個類型混淆錯誤。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過轉譯器損毀來造成拒絕服務，或以沙箱化轉譯處理程序的權限執行任意程式碼。(CVE-2015-1242)

    據發現，當 HSTS 原則處於使用中狀態時，websocket 連線未升級。遠端攻擊者可能會利用此瑕疵來執行攔截式 (MITM) 攻擊。(CVE-2015-1244)

    在 Blink 中發現一個超出邊界讀取瑕疵。如果使用者遭到誘騙而開啟特製的網站，攻擊者可能會加以惡意利用，透過轉譯器損毀來造成拒絕服務。
    (CVE-2015-1246)

    在 Chromium 中發現多個安全性問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，以讀取未初始化的記憶體、透過損毀應用程式來引發拒絕服務，或可能以叫用程式的使用者權限執行任意程式碼。(CVE-2015-1249)

    在檔案選擇器實作中發現一個釋放後使用問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能加以惡意利用，透過損毀應用程式來引發拒絕服務，或以叫用該程式的使用者權限執行任意程式碼。
    (CVE-2015-1321)

    在 V8 中發現多個安全性問題。如果使用者遭到誘騙而開啟特製網站，攻擊者可能會加以惡意利用以讀取未初始化的記憶體、透過轉譯器損毀來造成拒絕服務，或以沙箱化轉譯處理程序的權限執行任意程式碼。
    (CVE-2015-3333)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
83109	Ubuntu 14.04 LTS : Oxide vulnerabilities (USN-2570-1)	Nessus	Ubuntu Local Security Checks	4/28/2015	8/27/2024	high
83109	Ubuntu 14.04 LTS：Oxide 漏洞 (USN-2570-1)	Nessus	Ubuntu Local Security Checks	4/28/2015	8/27/2024	high
83109	Ubuntu 14.04 LTS : Oxide の脆弱性 (USN-2570-1)	Nessus	Ubuntu Local Security Checks	4/28/2015	8/27/2024	high
83109	Ubuntu 14.04 LTS：Oxide 弱點 (USN-2570-1)	Nessus	Ubuntu Local Security Checks	4/28/2015	8/27/2024	high

Detections

Analytics

Plugins Search

high

high

high

high