The remote Debian 10 host has packages installed that are affected by a vulnerability as referenced in the dla-3442 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3442-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     June 03, 2023                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : nbconvert     Version        : 5.4-2+deb10u1     CVE ID         : CVE-2021-32862

    Alvaro Muoz from the GitHub Security Lab discovered sixteen ways to     exploit a cross-site scripting vulnerability in nbconvert, a tool and     library used to convert notebooks to various other formats via Jinja     templates.

    When using nbconvert to generate an HTML version of a user-controllable     notebook, it is possible to inject arbitrary HTML which may lead to     cross-site scripting (XSS) vulnerabilities if these HTML notebooks are     served by a web server without tight Content-Security-Policy (e.g.,     nbviewer).

      * GHSL-2021-1013: XSS in notebook.metadata.language_info.pygments_lexer;
      * GHSL-2021-1014: XSS in notebook.metadata.title;
      * GHSL-2021-1015: XSS in notebook.metadata.widgets;
      * GHSL-2021-1016: XSS in notebook.cell.metadata.tags;
      * GHSL-2021-1017: XSS in output data text/html cells;
      * GHSL-2021-1018: XSS in output data image/svg+xml cells;
      * GHSL-2021-1019: XSS in notebook.cell.output.svg_filename;
      * GHSL-2021-1020: XSS in output data text/markdown cells;
      * GHSL-2021-1021: XSS in output data application/javascript cells;
      * GHSL-2021-1022: XSS in output.metadata.filenames image/png and         image/jpeg;
      * GHSL-2021-1023: XSS in output data image/png and image/jpeg cells;
      * GHSL-2021-1024: XSS in output.metadata.width/height image/png and         image/jpeg;
      * GHSL-2021-1025: XSS in output data application/vnd.jupyter.widget-state+         json cells;
      * GHSL-2021-1026: XSS in output data application/vnd.jupyter.widget-view+         json cells;
      * GHSL-2021-1027: XSS in raw cells; and
      * GHSL-2021-1028: XSS in markdown cells.

    Some of these vulnerabilities, namely GHSL-2021-1017, -1020, -1021, and
    -1028, are actually design decisions where text/html, text/markdown,     application/JavaScript and markdown cells should allow for arbitrary     JavaScript code execution.  These vulnerabilities are therefore left open     by default, but users can now opt-out and strip down all JavaScript     elements via a new HTMLExporter option `sanitize_html`.

    For Debian 10 buster, this problem has been fixed in version     5.4-2+deb10u1.

    We recommend that you upgrade your nbconvert packages.

    For the detailed security status of nbconvert please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/nbconvert

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by a vulnerability as referenced in the dla-3863 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3863-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     September 02, 2024                            https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : nbconvert     Version        : 5.6.1-3+deb11u1     CVE ID         : CVE-2021-32862

    Alvaro Muoz from the GitHub Security Lab discovered sixteen ways to     exploit a cross-site scripting vulnerability in nbconvert, a tool and     library used to convert notebooks to various other formats via Jinja     templates.

    When using nbconvert to generate an HTML version of a user-controllable     notebook, it is possible to inject arbitrary HTML which may lead to     cross-site scripting (XSS) vulnerabilities if these HTML notebooks are     served by a web server without tight Content-Security-Policy (e.g.,     nbviewer).

      * GHSL-2021-1013: XSS in notebook.metadata.language_info.pygments_lexer;
      * GHSL-2021-1014: XSS in notebook.metadata.title;
      * GHSL-2021-1015: XSS in notebook.metadata.widgets;
      * GHSL-2021-1016: XSS in notebook.cell.metadata.tags;
      * GHSL-2021-1017: XSS in output data text/html cells;
      * GHSL-2021-1018: XSS in output data image/svg+xml cells;
      * GHSL-2021-1019: XSS in notebook.cell.output.svg_filename;
      * GHSL-2021-1020: XSS in output data text/markdown cells;
      * GHSL-2021-1021: XSS in output data application/javascript cells;
      * GHSL-2021-1022: XSS in output.metadata.filenames image/png and         image/jpeg;
      * GHSL-2021-1023: XSS in output data image/png and image/jpeg cells;
      * GHSL-2021-1024: XSS in output.metadata.width/height image/png and         image/jpeg;
      * GHSL-2021-1025: XSS in output data application/vnd.jupyter.widget-state+         json cells;
      * GHSL-2021-1026: XSS in output data application/vnd.jupyter.widget-view+         json cells;
      * GHSL-2021-1027: XSS in raw cells; and
      * GHSL-2021-1028: XSS in markdown cells.

    Some of these vulnerabilities, namely GHSL-2021-1017, -1020, -1021, and
    -1028, are actually design decisions where text/html, text/markdown,     application/JavaScript and markdown cells should allow for arbitrary     JavaScript code execution.  These vulnerabilities are therefore left open     by default, but users can now opt-out and strip down all JavaScript     elements via a new HTMLExporter option `sanitize_html`.

    For Debian 11 bullseye, this problem has been fixed in version     5.6.1-3+deb11u1.

    We recommend that you upgrade your nbconvert packages.

    For the detailed security status of nbconvert please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/nbconvert

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 38 host has packages installed that are affected by a vulnerability as referenced in the FEDORA-2022-b910e3473f advisory.

    New versions of nbclient and nbconvert.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3442 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - GitHub Security Lab は、nbconvert でクロスサイトスクリプティング脆弱性を悪用する 16 の方法を発見しました。nbconvert を使用してユーザーがコントロールできるノートブックの HTML バージョンを生成する際に、任意の HTML を注入することが可能です。これにより、これらの HTML ノートブックが Web サーバー (例えば、nbviewer) で処理される場合、クロスサイトスクリプティング (XSS) を引き起こす可能性があります。(CVE-2021-32862)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3863 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3863-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 9 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : nbconvert バージョン : 5.6.1-3+deb11u1 CVE ID : CVE-2021-32862

    GitHub Security Lab の Alvaro Muoz 氏は、nbconvert のクロスサイトスクリプティングの脆弱性を悪用する 16 の方法を発見しました。nbconvert は、Jinja テンプレートを介してノートブックを他のさまざまな形式に変換するために使用されるツールとライブラリです。

    nbconvert を使用してユーザーがコントロールできるノートブックの HTML バージョンを生成する際に、任意の HTML を注入することが可能です。これにより、これらの HTML ノートブックが厳密な Content-Security-Policy のないウェブサーバー (例えば、nbviewer) によって提供される場合、クロスサイトスクリプティング (XSS) の脆弱性を引き起こす可能性があります。 

      * GHSL-2021-1013: notebook.metadata.language_info.pygments_lexer の XSS。
      * GHSL-2021-1014: notebook.metadata.title の XSS。
      * GHSL-2021-1015: notebook.metadata.widgets の XSS。
      * GHSL-2021-1016: notebook.cell.metadata.tags の XSS。
      * GHSL-2021-1017: 出力データ text/html セルの XSS。
      * GHSL-2021-1018: 出力データ image/svg+xml セルの XSS。
      * GHSL-2021-1019: notebook.cell.output.svg_filename の XSS。
      * GHSL-2021-1020: 出力データ text/markdown の XSS。
      * GHSL-2021-1021: 出力データ application/javascript セルの XSS。
      * GHSL-2021-1022: output.metadata.filenames image/png および image/jpeg の XSS。
      * GHSL-2021-1023: 出力データ image/png および image/jpeg セルの XSS。
      * GHSL-2021-1024: output.metadata.width/height image/png および image/jpeg の XSS。
      * GHSL-2021-1025: 出力データ application/vnd.jupyter.widget-state+ json セルの XSS。
      * GHSL-2021-1026: 出力データ application/vnd.jupyter.widget-view+ json セルの XSS。
      * GHSL-2021-1027: raw セルの XSS。および
      * GHSL-2021-1028: markdown セルの XSS。

    これらの脆弱性の一部、すなわち GHSL-2021-1017、-1020、-1021、および
    -1028 は、text/html、text/markdown、application/JavaScript、markdown のセルが実際にはデザイン上の決定であり、これにより任意の JavaScript コードの実行が可能になります。したがって、これらの脆弱性はデフォルトで開いたままになりますが、ユーザーは HTMLExporter の新しいオプション「sanitize_html」を使用してすべての JavaScript 要素をオプトアウトおよびストリップダウンできるようになりました。

    Debian 11 bullseye において、この問題はバージョン 5.6.1-3+deb11u1 で修正されました。

    お使いの nbconvert パッケージをアップグレードすることを推奨します。

    nbconvert の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/nbconvert

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 11 主機上安裝的多個套件受到 dsa-3863 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3863-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 9 月 2 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：nbconvert 版本：5.6.1-3+deb11u1 CVE ID：CVE-2021-32862

    GitHub Security Lab 的 Alvaro Muoz 在 nbconvert (一種用於透過 Jinja 範本將記事本轉換為其他多種格式的工具和程式庫) 中發現了 16 種利用跨網站指令碼弱點的方式。

    當使用 nbconvert 產生 HTML 版本的使用者可控記事本時，如果這些 HTML 記事本是由 Web 伺服器提供且沒有嚴格的內容安全性原則 (例如：nbviewer)，則攻擊者可能插入可導致跨網站指令碼 (XSS) 弱點的任意 HTML。

      * GHSL-2021-1013：notebook.metadata.language_info.pygments_lexer 中的 XSS 弱點；
      * GHSL-2021-1014：notebook.metadata.title 中的 XSS 弱點；
      * GHSL-2021-1015：notebook.metadata.widgets 中的 XSS 弱點；
      * GHSL-2021-1016：notebook.cell.metadata.tags 中的 XSS 弱點；
      * GHSL-2021-1017：輸出資料文字/html 儲存格中的 XSS 弱點；
      * GHSL-2021-1018：輸出資料圖像/svg+xml 儲存格中的 XSS 弱點；
      * GHSL-2021-1019：notebook.cell.output.svg_filename 中的 XSS 弱點；
      * GHSL-2021-1020：輸出資料文字/markdown 儲存格中的 XSS 弱點；
      * GHSL-2021-1021：輸出資料應用程式/javascript 儲存格中的 XSS 弱點；
      * GHSL-2021-1022：output.metadata.filenames image/png 和 image/jpeg 中的 XSS 弱點；
      * GHSL-2021-1023：output data image/png 和 image/jpeg 儲存格中的 XSS 弱點；
      * GHSL-2021-1024：output.metadata.width/height image/png 和 image/jpeg 中的 XSS 弱點；
      * GHSL-2021-1025：輸出資料應用程式/vnd.jupyter.widget-state+ json 儲存格中的 XSS 弱點；
      * GHSL-2021-1026：輸出資料應用程式/vnd.jupyter.widget-view+ json 儲存格中的 XSS 弱點；
      * GHSL-2021-1027：原始儲存格中的 XSS 弱點；以及
      * GHSL-2021-1028：markdown 儲存格中的 XSS 弱點。

    其中部分弱點 (即 GHSL-2021-1017、-1020、-1021 和
    -1028) 實際上是設計決定，其中 text/html、text/markdown、application/JavaScript 和 markdown 儲存格應允許任意 JavaScript 程式碼執行。因此，這些弱點根據預設為開啟狀態，但使用者現可透過新的 HTMLExporter 選項「sanitize_html」，選擇退出並去除所有 JavaScript 元素。

    針對 Debian 11 Bullseye，此問題已在 5.6.1-3+deb11u1 版本中修正。

    建議您升級 nbconvert 套件。

    如需有關 nbconvert 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/nbconvert

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的多个程序包受到 dla-3442 公告中提及的一个漏洞影响。

  - GitHub 安全实验室发现可通过 16 种方式利用 nbconvert 中的跨站脚本漏洞。使用 nbconvert 生成用户可控笔记本的 HTML 版本时，如果这些 HTML 笔记本由 Web 服务器（例如：nbviewer）提供，则攻击者可注入任意 HTML，从而导致跨站脚本 (XSS) 漏洞。(CVE-2021-32862)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3863 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3863-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 9 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nbconvert 版本：5.6.1-3+deb11u1 CVE ID： CVE-2021-32862

    GitHub 安全实验室的 Alvaro Muoz 发现了十六种方式来利用 nbconvert 中的跨站脚本漏洞。nbconvert 是一个工具和库，用于通过 Jinja 模板将 notebook 转换为各种其他格式。

    使用 nbconvert 生成用户可控笔记本的 HTML 版本时，如果这些 HTML 笔记本在没有严格内容安全策略（例如 nbviewer）的情况下由 Web 服务器提供，则攻击者可注入任意 HTML，从而导致跨站脚本 (XSS) 漏洞。

      * GHSL-2021-1013：notebook.metadata.language_info.pygments_lexer 中存在 XSS；
      * GHSL-2021-1014：notebook.metadata.title 中存在 XSS；
      * GHSL-2021-1015：notebook.metadata.widgets 中存在 XSS；
      * GHSL-2021-1016：notebook.cell.metadata.tags 中存在 XSS；
      * GHSL-2021-1017：输出数据 text/html 单元格中存在 XSS；
      * GHSL-2021-1018：输出数据 image/svg+xml 单元格中存在 XSS；
      * GHSL-2021-1019：notebook.cell.output.svg_filename 中存在 XSS；
      * GHSL-2021-1020：输出数据 text/markdown 单元格中存在 XSS；
      * GHSL-2021-1021：输出数据 application/javascript 单元格中存在 XSS；
      * GHSL-2021-1022：output.metadata.filenames image/png 和 image/jpeg 中存在 XSS；
      * GHSL-2021-1023：输出数据 image/png 和 image/jpeg 单元格中存在 XSS；
      * GHSL-2021-1024：output.metadata.width/height image/png 和 image/jpeg 中存在 XSS；
      * GHSL-2021-1025：输出数据 application/vnd.jupyter.widget-state+ json 单元格中存在 XSS；
      * GHSL-2021-1026：输出数据 application/vnd.jupyter.widget-view+ json 单元格中存在 XSS；
      * GHSL-2021-1027：原始单元格中存在 XSS；以及
      * GHSL-2021-1028：markdown 单元格中存在 XSS。

    其中某些漏洞，即 GHSL-2021-1017、-1020、-1021 和
    -1028 实际上是设计决策，在这些决策中，text/html、text/markdown、application/javascript 和 markdown 单元格应允许执行任意 JavaScript 代码。因此，这些漏洞在默认情况下处于开放状态，但用户现在可以通过新的 HTMLExporter 选项“sanitize_html”选择退出和剥离所有 JavaScript 元素。

    对于 Debian 11 bullseye，已在 5.6.1-3+deb11u1 版本中修复此问题。

    我们建议您升级 nbconvert 程序包。

    如需了解 nbconvert 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nbconvert

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3442 公告中提及的一個弱點影響。

  - GitHub 安全性實驗室發現，可以透過 16 種方式利用 nbconvert 中的跨網站指令碼弱點。當使用 nbconvert 產生 HTML 版本的使用者可控筆記本時，如果這些 HTML 筆記本是由 Web 伺服器 (例如：nbviewer) 提供，則攻擊者可能插入可導致跨網站指令碼 (XSS) 弱點的任意 HTML。 (CVE-2021-32862)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
176658	Debian dla-3442 : jupyter-nbconvert - security update	Nessus	Debian Local Security Checks	6/3/2023	1/22/2025	medium
206424	Debian dla-3863 : jupyter-nbconvert - security update	Nessus	Debian Local Security Checks	9/2/2024	9/2/2024	medium
211067	Fedora 38 : python-nbclient / python-nbconvert (2022-b910e3473f)	Nessus	Fedora Local Security Checks	11/14/2024	11/14/2024	medium
176658	Debian DLA-3442-1 : nbconvert - LTS セキュリティ更新	Nessus	Debian Local Security Checks	6/3/2023	1/22/2025	medium
206424	Debian dla-3863 : jupyter-nbconvert - セキュリティ更新	Nessus	Debian Local Security Checks	9/2/2024	9/2/2024	medium
206424	Debian dla-3863：jupyter-nbconvert - 安全性更新	Nessus	Debian Local Security Checks	9/2/2024	9/2/2024	medium
176658	Debian DLA-3442-1：nbconvert - LTS 安全更新	Nessus	Debian Local Security Checks	6/3/2023	1/22/2025	medium
206424	Debian dla-3863：jupyter-nbconvert - 安全更新	Nessus	Debian Local Security Checks	9/2/2024	9/2/2024	medium
176658	Debian DLA-3442-1：nbconvert - LTS 安全性更新	Nessus	Debian Local Security Checks	6/3/2023	1/22/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium