Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2.4之前的 Fossil 中的 http_transport.c 在使用 SSH 同步协议时允许受用户协助的远程攻击者通过主机名中包含初始短划线字符的 ssh URL 执行任意命令此问题与 CVE-2017-9800、 CVE-2017-12836有关、 CVE-2017-12976、 CVE-2017-14176、 CVE-2017-16228、 CVE-2017-1000116和 CVE-2017-1000117。 (CVE-2017-17459)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机受到 GLSA-201801-20 中所述漏洞的影响（Fossil：用户协助的任意代码执行）Fossil 未正确验证 SSH 同步协议 URL。影响：远程攻击者可引诱用户打开特制 URL，进而可能以运行应用程序的用户权限执行任意命令。解决方法：目前无任何已知的解决方法。

遠端主機受到 GLSA-201801-20 中所述的弱點影響 (Fossil：使用者協助的任意程式碼執行) Fossil 未正確驗證 SSH 同步通訊協定 URL。影響：遠端攻擊者可引誘使用者開啟特製 URL，進而可能以執行應用程式的使用者權限執行任意命令。因應措施：目前尚無已知的因應措施。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 2.4之前的 Fossil 中當使用 SSH 同步通訊協定時http_transport.c 允許使用者協助的遠端攻擊者透過主機名稱中帶有初始破折號字元的 ssh URL 執行任意命令此問題與 CVE-2017-9800、 CVE-2017-12836相關、 CVE-2017-12976、 CVE-2017-14176、 CVE-2017-16228、 CVE-2017-1000116與 CVE-2017-1000117。 (CVE-2017-17459)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - http_transport.c in Fossil before 2.4, when the SSH sync protocol is used, allows user-assisted remote     attackers to execute arbitrary commands via an ssh URL with an initial dash character in the hostname, a     related issue to CVE-2017-9800, CVE-2017-12836, CVE-2017-12976, CVE-2017-14176, CVE-2017-16228,     CVE-2017-1000116, and CVE-2017-1000117. (CVE-2017-17459)

Note that Nessus relies on the presence of the package as reported by the vendor.

- Update to 2.8 fixes rhbz#1581180 rhbz#1603993     rhbz#1674893 and rhbz#1524335

  - Removed upstreamed patch

  - Bug 1524335 - CVE-2017-17459 fossil: Command injection     via malicious ssh URLs [fedora-all]

  - Bug 1581180 - Update fossil version to 2.6 (currently is     2.2)

  - Bug 1603993 - fossil: FTBFS in Fedora rawhide

  - Bug 1674893 - fossil: FTBFS in Fedora rawhide/f30

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for fossil to version 2.4 fixes the following issues :

  - CVE-2017-17459: Client-side code execution via crafted     'ssh://' URLs (bsc#1071709)

The impact of this vulnerability is more limited than similar vectors fixed in other SCMs, as there is no known way to mask the repository URL or otherwise trigger non-interactively.

This update also contains all bug fixes and improvements in the 2.4 release :

  - URL Aliases

  - tech-note search capability

  - Various added command line options

  - Annation depth is now configurable

The following legacy options are no longer available :

  - --no-dir-symlinks option

  - legacy configuration sync protocol

The remote host is affected by the vulnerability described in GLSA-201801-20 (Fossil: User-assisted execution of arbitrary code)

    Fossil does not properly validate SSH sync protocol URLs.
  Impact :

    A remote attacker, by enticing a user to open a specially crafted URL,       could possibly execute arbitrary commands with the privileges of the user       running the application.
  Workaround :

    There is no known workaround at this time.

このfossilのバージョン2.4への更新では、以下の問題を修正します：

  - CVE-2017-17459：細工された「ssh：//」URLを介したクライアントサイドのコード実行（bsc#1071709）

他のSCMで修正された類似のベクトルよりも、この脆弱性の影響が限定されています。これは、リポジトリのURLをマスクする、あるいは非インタラクティブにトリガーする既知の方法が存在しないためです。

この更新には、2.4リリース内のすべてのバグの修正と改善も含まれています：

  - URLエイリアス

  - tech-note検索機能

  - 複数のコマンドラインオプションが追加されました

  - アネーションの深度を構成できるようになりました

以下のレガシーオプションは利用できなくなりました：

  - --no-dir-symlinksオプション

  - レガシー構成同期プロトコル

リモートホストは、GLSA-201801-20（Fossil：ユーザー支援による任意のコードの実行）で説明されている脆弱性に影響されています。Fossilは、SSHの同期プロトコルURLを適切に検証しません。影響：リモートの攻撃者が、特別に細工されたURLを開くようにユーザーを誘導することで、アプリケーションを実行しているユーザーの権限で任意のコマンドを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.4より前の Fossil の http_transport.c により、SSH 同期プロトコルが使用される場合、ユーザーが支援するリモートの攻撃者が、ホスト名にダッシュ文字がある ssh URL を介して任意のコマンドを実行することができます。これは、 CVE-2017-9800、 CVE-2017-12836に関連する問題です。 CVE-2017-12976、、、、、、、、 CVE-2017-16228および CVE-2017-14176。 CVE-2017-1000116​ CVE-2017-1000117​CVE-2017-17459

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

- rhbz#1581180 rhbz#1603993 rhbz#1674893およびrhbz#1524335を修正する2.8に更新してください

  - Upstreamのパッチを削除しました

  - バグ1524335 - CVE-2017-17459 fossil：悪意のあるsshのURLによるコマンドインジェクション[fedora-all]

  - バグ1581180 - fossilバージョンを 2.6に更新してください（現在は2.2です）

  - バグ1603993 - fossil：Fedora rawhideのFTBFS

  - バグ1674893 - fossil：Fedora rawhide/f30のFTBFS

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	Name	Product	Family	Published	Updated	Severity
256725	Linux Distros 未修补的漏洞：CVE-2017-17459	Nessus	Misc.	8/27/2025	8/27/2025	high
106429	GLSA-201801-20：Fossil：受用户协助的任意代码执行	Nessus	Gentoo Local Security Checks	1/29/2018	6/7/2018	high
106429	GLSA-201801-20：Fossil：使用者協助的任意程式碼執行	Nessus	Gentoo Local Security Checks	1/29/2018	6/7/2018	high
256725	Linux Distros 未修補的弱點：CVE-2017-17459	Nessus	Misc.	8/27/2025	8/27/2025	high
256725	Linux Distros Unpatched Vulnerability : CVE-2017-17459	Nessus	Misc.	8/27/2025	8/27/2025	high
126665	Fedora 30 : fossil (2019-f350634b40)	Nessus	Fedora Local Security Checks	7/15/2019	5/10/2024	high
105245	openSUSE Security Update : fossil (openSUSE-2017-1365)	Nessus	SuSE Local Security Checks	12/14/2017	1/19/2021	high
106429	GLSA-201801-20 : Fossil: User-assisted execution of arbitrary code	Nessus	Gentoo Local Security Checks	1/29/2018	6/7/2018	high
105245	openSUSEセキュリティ更新プログラム：fossil（openSUSE-2017-1365）	Nessus	SuSE Local Security Checks	12/14/2017	1/19/2021	high
106429	GLSA-201801-20：Fossil：ユーザー支援による任意のコードの実行	Nessus	Gentoo Local Security Checks	1/29/2018	6/7/2018	high
256725	Linux Distros のパッチ未適用の脆弱性: CVE-2017-17459	Nessus	Misc.	8/27/2025	8/27/2025	high
126665	Fedora 30：fossil（2019-f350634b40）	Nessus	Fedora Local Security Checks	7/15/2019	5/10/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high