GLSA-202305-23：Lua：多個弱點

critical Nessus Plugin ID 175055

語系：

說明

遠端主機受到 GLSA-202305-23 中所述的弱點影響 (Lua：多個弱點)

- 在 Lua 5.1 版至 5.2.3 版之前的 5.2.x 版中，ldo.c 的 vararg 函式中有緩衝區溢位問題，允許內容相依的攻擊者透過具有大量固定引數之函式的少量引數，造成拒絕服務 (當機)。(CVE-2014-5461)

- Lua v5.4.3 及以上版本受到區段錯誤弱點影響，這是 ldebug.c 的 funcnamefromcode 函式中的類型混淆問題造成，此問題可引致本機拒絕服務攻擊。(CVE-2021-44647)

- 在 Lua 5.4.0 (含) 版至 5.4.4 (不含) 版中，lparser.c 的 singlevar 缺少特定的 luaK_exp2anyregup 呼叫，可導致堆積型緩衝區過度讀取，此問題可影響編譯未受信任的 Lua 程式碼的系統。(CVE-2022-28805)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

所有 Lua 5.1 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.1.5-r200 所有 Lua 5.3 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.2.3 所有 Lua 5.4 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.4.4-r103