遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5619 公告中提及的多個弱點影響。

  - libgit2 是 Git 核心方法的可攜式 C 實作，以具有可靠 API 的可連結程式庫形式提供，允許在您的應用程式中構建 Git 功能。在 `git_revparse_single` 中使用特製的輸入可導致函式進入無限迴圈，進而可能在呼叫應用程式中造成拒絕服務攻擊。`src/libgit2/revparse.c` 中的 revparse 函式會使用迴圈來剖析使用者提供的規格字串。剖析期間存在一個邊緣案例，不良執行者可藉此強制迴圈條件存取任意記憶體。如果將擷取的修訂版規格反映回攻擊者，這也可能洩漏記憶體。因此，1.4.0 之前的 libgit2 版本不受影響。使用者應升級至 1.6.5 或 1.7.2 版。(CVE-2024-24575)

  - libgit2 是 Git 核心方法的可攜式 C 實作，以具有可靠 API 的可連結程式庫形式提供，允許在您的應用程式中構建 Git 功能。使用 `git_index_add` 的特製輸入會造成堆積損毀，而攻擊者可藉此執行任意程式碼。`src/libgit2/index.c` 的 `has_dir_name` 函式中存在一個問題，其會釋放不應釋放的項目。釋放的項目稍後會被使用，並以可能由不良執行者控制的資料覆寫，進而導致受控制的堆積損毀。根據使用 libgit2 的應用程式而定，此問題可導致任意程式碼執行。此問題已在 1.6.5 和 1.7.2 版本中修正。(CVE-2024-24577)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dsa-5619：libgit2-1.1 - 安全性更新

critical Nessus Plugin ID 190381

版本 1.0