遠端 Debian 11 主機上安裝的多個套件受到 dla-3920 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3920-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 10 月 14 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php7.4 版本：7.4.33-1+deb11u6 CVE ID：CVE-2022-4900 CVE-2024-5458 CVE-2024-8925 CVE-2024-8927 CVE-2024-9026 Debian 錯誤：1072885

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題，可能導致任意程式碼執行、錯誤剖析無效 URL 或多部分表單資料、組態設定繞過或記錄污染。

    CVE-2022-4900

        據發現，將環境變數 PHP_CLI_SERVER_WORKERS 設為大值會導致堆積緩衝區溢位。

    CVE-2024-5458

        由於程式碼邏輯錯誤，篩選函式 (如 filter_var) 在驗證特定類型 URL 的 URL (FILTER_VALIDATE_URL) 時，此函式會造成無效的使用者資訊 (URL 的使用者名稱 + 密碼部分) 被視為有效的使用者資訊。
        這可能導致下游程式碼接受無效的 URL 為有效，並錯誤剖析這些 URL。

        這會造成與 CVE-2020-7071 相同的問題，但是使用 IPv6 主機部分。

    CVE-2024-8925

        Mihail Kirov 發現 HTTP POST 要求中包含的多部分表單資料錯誤剖析，可能會導致無法處理合法資料，進而違反資料完整性。

    CVE-2024-8927

        據發現，由於環境變數衝突，可繞過「cgi.force_redirect」組態設定。

    CVE-2024-9026

        在 PHP-FPM 中，如果設定為透過 catch_workers_output = yes 組態擷取工作人員輸出時，可能會使用來自 FPM_STDIO_CMD_FLUSH 巨集的最多 4 個字元污染最終記錄，或從記錄中移除最多 4 個字元。

    針對 Debian 11 Bullseye，這些問題已在 7.4.33-1+deb11u6 版本中修正。

    建議您升級 php7.4 套件。

    如需有關 php7.4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php7.4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-3920：libapache2-mod-php7.4 - 安全性更新

high Nessus Plugin ID 208984

版本 1.1