The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ActiveSupport::EncryptedFile writes contents that will be encrypted to a temporary file. The temporary     file's permissions are defaulted to the user's current `umask` settings, meaning that it's possible for     other users on the same system to read the contents of the temporary file. Attackers that have access to     the file system could possibly read the contents of this temporary file while a user is editing it. All     users running an affected release should either upgrade or use one of the workarounds immediately.
    (CVE-2023-38037)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 12 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-5881 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-5881-1                   security@debian.org     https://www.debian.org/security/                       Moritz Muehlenhoff     March 17, 2025                        https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : rails     CVE ID         : CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103                      CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889                      CVE-2024-54133

    Multiple security issues were discovered in the Rails web framework     which could result cross-site scripting, information disclosure, denial     of service or bypass of content security policies.

    For the stable distribution (bookworm), these problems have been fixed in     version 2:6.1.7.10+dfsg-1~deb12u1.

    We recommend that you upgrade your rails packages.

    For the detailed security status of rails please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/rails

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ActiveSupport::EncryptedFile は、暗号化されるコンテンツを一時ファイルに書き込みます。一時ファイルの権限は、デフォルトでユーザーの現在の「umask」設定になります。これは、同じシステムの他のユーザーが一時ファイルの内容を読み取ることができることを意味します。ファイルシステムへのアクセス権を持つ攻撃者が、ユーザーによる一時ファイルの編集中に、この一時ファイルの内容を読み取る可能性があります。影響するリリースを実行しているすべてのユーザーは、速やかにアップグレードするか回避策を取る必要があります。
    (CVE-2023-38037)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2023:0350-1 advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの openSUSE 15 ホストにインストールされているパッケージは、openSUSE- SU-2023: 0350-1 のアドバイザリに記載されている脆弱性の影響を受けます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ActiveSupport::EncryptedFile 會將要加密的內容寫入暫存檔。暫存檔的權限預設為使用者目前的「umask」設定，這表示相同系統上的其他使用者可能讀取暫存檔的內容。具有檔案系統存取權的攻擊者可能在使用者編輯此暫存檔時讀取該檔案的內容。所有執行受影響版本的使用者皆應升級，或立即使用其中一個因應措施。
    (CVE-2023-38037)

請注意，Nessus 依賴供應商報告的套件存在。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5881 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5881-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：rails CVE ID：CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133

    在 Rails Web 框架中发现多个安全问题，其可能导致跨站脚本、信息泄露、拒绝服务或绕过内容安全政策。

    对于稳定发行版本 (bookworm)，已在版本 2:6.1.7.10+dfsg-1~deb12u1 中修复这些问题。

    我们建议您升级 rails 程序包。

    如需了解 rails 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rails

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:2010 advisory.

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE page(s)     listed in the References section.

    Security fixes:
    * python-pygments: ReDoS in pygments (CVE-2022-40896)
    * python-pycryptodomex: Side-channel leakage for OAEP decryption in PyCryptodome and pycryptodomex     (CVE-2023-52323)
    * satellite: Arithmetic overflow in satellite (CVE-2023-4320)
    * automation-hub: Ansible Automation Hub: insecure galaxy-importer tarfile extraction (CVE-2023-5189)
    * jetty: Improper addition of quotation marks to user inputs in CgiServlet (CVE-2023-36479)
    * python-aiohttp: HTTP request smuggling via llhttp HTTP request parser (CVE-2023-37276)
    * rubygem-activesupport: File Disclosure of Locally Encrypted Files (CVE-2023-38037)
    * jetty: Improper validation of HTTP/1 content-length (CVE-2023-40167)
    * python-django: Potential denial of service vulnerability in `django.utils.encoding.uri_to_iri()`     (CVE-2023-41164)
    * python-django: Denial-of-service possibility in django.utils.text.Truncator (CVE-2023-43665)
    * python-aiohttp: Numerous issues in HTTP parser with header parsing (CVE-2023-47627)
    * python-aiohttp: HTTP request modification (CVE-2023-49081)
    * python-aiohttp: CRLF injection if user controls the HTTP method using aiohttp client (CVE-2023-49082)
    * rubygem-puma: HTTP request smuggling when parsing chunked Transfer-Encoding Bodies (CVE-2024-21647)
    * rubygem-audited: Race condition can lead to audit logs being incorrectly attributed to the wrong user     (CVE-2024-22047)
    * python-jinja2: HTML attribute injection when passing user input as keys to xmlattr filter     (CVE-2024-22195)
    * python-aiohttp: Follow_symlinks directory traversal vulnerability (CVE-2024-23334)
    * python-aiohttp: HTTP request smuggling (CVE-2024-23829)

    Additional Changes:
    This update also fixes several bugs and adds various enhancements.

    Documentation for these changes is available from the Release Notes document linked to in the References     section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:2010 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    セキュリティの修正: 
    * python-pygments: pygments での ReDoS (CVE-2022-40896)
    * python-pycryptodomex: PyCryptodome および pycryptodomex における OAEP 復号化のサイドチャネル漏洩 (CVE-2023-52323)
    * satellite: satellite 内の演算子オーバーフロー (CVE-2023-4320)
    * automation-hub: Ansible Automation Hub: galaxy-importer の安全でない tarfile の抽出 (CVE-2023-5189)
    * jetty: CgiServlet のユーザー入力への引用符の不適切な追加 (CVE-2023-36479)
    * python-aiohttp: llhttp HTTP リクエストパーサーを介した HTTP リクエストのスマグリング (CVE-2023-37276)
    * rubygem-activesupport: ローカルで暗号化されたファイルのファイル開示 (CVE-2023-38037)
    * jetty: HTTP/1 content-length の不適切な検証 (CVE-2023-40167)
    * python-django:「django.utils.encoding.uri_to_iri()」での潜在的なサービス拒否の脆弱性 (CVE-2023-41164)
    * python-django: django.utils.text.Truncator でのサービス拒否の可能性 (CVE-2023-43665)
    * python-aiohttp: ヘッダー解析に関する HTTP パーサーにおける多数の問題 (CVE-2023-47627)
    * python-aiohttp: HTTP リクエストの変更 (CVE-2023-49081)
    * python-aiohttp: ユーザーが aiohttp クライアントを使用して HTTP メソッドをコントロールする場合の CRLF インジェクション (CVE-2023-49082)
    * rubygem-puma: チャンク転送エンコーディング本体を解析する際の HTTP リクエストスマグリング (CVE-2024-21647)
    * rubygem-audited: 競合状態によって、誤って間違ったユーザーに起因すると見なされた監査ログが発生する可能性があります (CVE-2024-22047)
    * python-jinja2: ユーザー入力を xmlattr フィルターへのキーとして渡す際の HTML 属性インジェクション (CVE-2024-22195)
    * python-aiohttp: follow_symlinks のディレクトリトラバーサルの脆弱性 (CVE-2024-23334)
    * python-aiohttp: HTTP リクエストのスマグリング (CVE-2024-23829)

    追加の変更
    この更新プログラムでは複数のバグが修正され、さまざまな拡張機能が追加されます。

    これらの変更に関するドキュメントは、「参照」セクションにリンクされているリリースノートのドキュメントから入手できます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ActiveSupport::EncryptedFile 会写入将加密的内容至临时文件。临时文件的权限默认为用户当前的“umask”设置，这意味着同一系统上的其他用户可以读取该临时文件的内容。有权访问文件系统的攻击者可能在用户编辑此临时文件时读取其内容。运行受影响版本的所有用户应立即升级或使用变通方案之一。
    (CVE-2023-38037)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Debian 12 ホストには、dsa-5881 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5881-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : rails CVE ID : CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133

    Rails Web フレームワークに、クロスサイトスクリプティング、情報漏洩、サービス拒否、またはコンテンツセキュリティポリシーのバイパスにつながる可能性のある複数のセキュリティ問題が発見されました。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 2:6.1.7.10+dfsg-1~deb12u1 で修正されています。

    お使いの rails パッケージをアップグレードすることを推奨します。

    rails の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/rails

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5881 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5881-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 17 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：rails CVE ID：CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133

    在 Rails 網路框架中發現多個安全性問題，其可能導致跨網站指令碼、資訊洩漏、拒絕服務或繞過內容安全策略。

    針對穩定的發行版本 (bookworm)，已在版本 2:6.1.7.10+dfsg-1~deb12u1 中修正這些問題。

    建議您升級 rails 套件。

    如需有關 rails 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/rails

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2024:2010 公告中提及的多個弱點影響。

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    安全性更新：
    * python-pygments：pygments 中的 ReDoS (CVE-2022-40896)
    * python-pycryptodomex：PyCryptodome 和 pycryptodomex 的 OAEP 解密中存在側通道洩漏弱點 (CVE-2023-52323)
    * satellite：satellite 中的算術溢位 (CVE-2023-4320)
    * automation-hub：Ansible Automation Hub：不安全的 galaxy-importer tarfile 擷取 (CVE-2023-5189)
    * jetty：不當將引號新增至 CgiServlet 中的使用者輸入 (CVE-2023-36479)
    * python-aiohttp：可透過 llhttp HTTP 要求剖析器觸發的 HTTP 要求走私弱點 (CVE-2023-37276)
    * rubygem-activesupport：本機加密檔案的檔案洩漏 (CVE-2023-38037)
    * jetty：不當驗證 HTTP/1 content-length (CVE-2023-40167)
    * python-django：`django.utils.encoding.uri_to_iri()` 中潛在的拒絕服務弱點 (CVE-2023-41164)
    * python-django：django.utils.text.Truncator 中可能存在拒絕服務弱點 (CVE-2023-43665)
    * python-aiohttp：具有標頭剖析功能的 HTTP 剖析器中有多個問題 (CVE-2023-47627)
    * python-aiohttp：HTTP 要求修改 (CVE-2023-49081)
    * python-aiohttp：若使用者使用 aiohttp 用戶端控制 HTTP 方法，則會發生 CRLF 插入攻擊 (CVE-2023-49082)
    * rubygem-puma：剖析區塊傳輸編碼內文時發生 HTTP 要求走私問題 (CVE-2024-21647)
    * rubygem-audited：爭用情形可能導致將稽核記錄錯誤地歸因於錯誤的使用者 (CVE-2024-22047)
    * python-jinja2：將使用者輸入作為金鑰傳遞至 xmlattr 篩選器時，發生 HTML 屬性插入攻擊 (CVE-2024-22195)
    * python-aiohttp：Follow_symlinks 目錄遊走弱點 (CVE-2024-23334)
    * python-aiohttp：HTTP 要求走私弱點 (CVE-2024-23829)

    其他變更：
    此更新亦可修正數個錯誤，並新增數個增強功能。

    這些變更的相關文件可從〈參照〉一節中的「版本資訊」文件連結中取得。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:2010 公告中提及的多个漏洞的影响。

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    安全修复：
    * python-pygments：pygments 中的 ReDoS (CVE-2022-40896)
    * python-pycryptodomex：PyCryptodome 和 pycryptodomex 中 OAEP 解密的边信道泄漏 (CVE-2023-52323)
    * satellite：satellite 中的算术溢出 (CVE-2023-4320)
    * automation-hub: Ansible Automation Hub：不安全的 galaxy-importer tarfile 提取 (CVE-2023-5189)
    * jetty：向 CgiServlet 中的用户输入添加不正确的引号 (CVE-2023-36479)
    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)
    * rubygem-activesupport：本地加密文件的文件泄露 (CVE-2023-38037)
    * jetty：不当验证 HTTP/1 content-length (CVE-2023-40167)
    * python-django：`django.utils.encoding.uri_to_iri()` 中潜在的拒绝服务漏洞 (CVE-2023-41164)
    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)
    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)
    * python-aiohttp：HTTP 请求修改 (CVE-2023-49081)
    * python-aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)
    * rubygem-puma：解析分块传输编码正文时，HTTP 请求走私 (CVE-2024-21647)
    * rubygem-audited：争用条件可导致审核日志被错误地归因于错误的用户 (CVE-2024-22047)
    * python-jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时发生 HTML 属性注入 (CVE-2024-22195)
    * python-aiohttp：Follow_symlinks 目录遍历漏洞 (CVE-2024-23334)
    * python-aiohttp：HTTP 请求走私 (CVE-2024-23829)

    其他变更：
    此更新还修复了多个缺陷并添加了多项增强功能。

    “参考”部分链接的版本说明文档中提供这些更改的文档。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
232134	Linux Distros Unpatched Vulnerability : CVE-2023-38037	Nessus	Misc.	3/6/2025	3/6/2025	medium
232892	Debian dsa-5881 : rails - security update	Nessus	Debian Local Security Checks	3/19/2025	3/19/2025	high
232134	Linux Distros のパッチ未適用の脆弱性: CVE-2023-38037	Nessus	Misc.	3/6/2025	3/6/2025	medium
184436	openSUSE 15 Security Update : rubygem-activesupport-5.2 (openSUSE-SU-2023:0350-1)	Nessus	SuSE Local Security Checks	11/5/2023	1/9/2025	medium
184436	openSUSE 15 セキュリティ更新: rubygem-activesupport-5.2 (openSUSE-SU-2023:0350-1)	Nessus	SuSE Local Security Checks	11/5/2023	1/9/2025	medium
232134	Linux Distros 未修補弱點：CVE-2023-38037	Nessus	Misc.	3/6/2025	3/6/2025	medium
232892	Debian DSA-5881：rails - 安全更新	Nessus	Debian Local Security Checks	3/19/2025	3/19/2025	high
199805	RHEL 8 : Satellite 6.15.0 (Important) (RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	6/3/2024	3/6/2025	high
199805	RHEL 8 : Satellite 6.15.0 (重要度高) (RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	6/3/2024	3/6/2025	high
232134	Linux Distros 未修补的漏洞: CVE-2023-38037	Nessus	Misc.	3/6/2025	3/6/2025	medium
232892	Debian dsa-5881 : rails - セキュリティ更新	Nessus	Debian Local Security Checks	3/19/2025	3/19/2025	high
232892	Debian dsa-5881：rails - 安全性更新	Nessus	Debian Local Security Checks	3/19/2025	3/19/2025	high
199805	RHEL 8：Satellite 6.15.0 (重要) (RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	6/3/2024	3/6/2025	high
199805	RHEL 8：Satellite 6.15.0（重要）(RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	6/3/2024	3/6/2025	high

Detections

Analytics

Plugins Search

medium

high

medium

medium

medium

medium

high

high

high

medium

high

high

high

high