遠端 Debian 9 主機上安裝的一個套件受到 dla-2791 公告中提及的多個弱點影響。

  - 2.1.35 之前版本的 GNU Mailman 可能允許遠端權限提升。特定 csrf_token 值衍生自管理員密碼，可能有助於對該密碼發動暴力密碼破解攻擊。
    (CVE-2021-42096)

  - 2.1.35 之前版本的 GNU Mailman 可能允許遠端權限提升。csrf_token 值並非特定於單一使用者帳戶。攻擊者可取得無權限使用者帳戶內容中的值，然後在針對系統管理員的 CSRF 攻擊中使用該值 (例如，帳戶接管)。(CVE-2021-42097)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-2791-1：mailman - LTS 安全性更新

high Nessus Plugin ID 154427

找不到變更記錄