遠端 Debian 10 主機上安裝的多個套件受到 dla-3363 公告中提及的多個弱點影響。

  - 當模式 \X 經過 JIT 編譯，並用於比對非 UTF 模式的特別建構主旨時，在 10.34 之前的 PCRE 中發現一個超出邊界讀取問題。使用 PCRE 剖析非受信任輸入的應用程式可能容易發生此瑕疵，攻擊者可利用此瑕疵造成應用程式損毀。此瑕疵發生在 pcre2_jit_compile.c 的 do_extuni_no_utf 中。(CVE-2019-20454)

  - 在 pcre2_jit_compile.c 檔案的 compile_xclass_matchingpath() 函式中，發現 PCRE2 庫中存在超出邊界讀取弱點。這涉及 JIT 編譯的規則運算式中的 unicode 屬性比對問題。造成此問題的原因在於，JIT 內忽略大小寫的比對中未完全讀取字元。(CVE-2022-1586)

  - 在 pcre2_jit_compile.c 檔案的 get_recurse_data_length() 函式中，發現 PCRE2 庫中存在超出邊界讀取弱點。此問題由重複資料傳輸造成，會影響 JIT 編譯的規則運算式中的遞回操作。(CVE-2022-1587)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3363-1：pcre2 - LTS 安全性更新

critical Nessus Plugin ID 172599

版本 1.0