遠端 Debian 11 主機上安裝的一個套件受到 dla-4066 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4066-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 2 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：fort-validator 版本：1.5.3-1~deb11u2 CVE ID：CVE-2024-45234 CVE-2024-45235 CVE-2024-45236 CVE-2024-45237 CVE-2024-45238 CVE-2024-45239 CVE-2024-48943

    在 fort-validator (一種 RPKI 驗證器和 RTR 伺服器) 中發現多個弱點。

    CVE-2024-45234

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供 ROA 或包含以非規範形式編碼的 signedAttrs 的資訊清單。這會繞過 Fort 的 BER 解碼器，造成程式碼中出現處理非以 DER 編碼的資料時會發生的錯誤。由於 Fort 是 RPKI 信賴方，因此發生錯誤時可導致路由來源驗證不可用，進而使路由遭到入侵。


    CVE-2024-45235

       繼承自 (受信任) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含缺少 keyIdentifier 欄位的授權金鑰識別碼擴充的資源憑證。Fort 未先清理即參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45236

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供包含空 signedAttributes 欄位的已簽章物件。Fort 未執行清理便存取此集合的元素。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45237

       繼承自 (受信任) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含由兩個以上位元的資料構成的 Key Usage 擴充的資源憑證。Fort 未正確清理長度便將此字串寫入大小為 2 個位元組的緩衝區，進而導致緩衝區溢位。

    CVE-2024-45238

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含未正確解碼為主體公開金鑰之位元字串的資源憑證。OpenSSL 未在剖析期間報告此問題，並且使用低於第 3 版的 OpenSSL libcrypto 進行編譯時，Fort 會輕率地將解除參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45239

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供 ROA 或包含空 eContent 欄位值的資訊清單。Fort 未先清理即解除參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-48943

       惡意 RPKI rsync 存放庫可透過點播內容來阻止 Fort 完成驗證。延遲驗證可導致路由來源驗證過時或無法使用。

    針對 Debian 11 Bullseye，這些問題已在 1.5.3-1~deb11u2 版本中修復。

    建議您升級 fort-validator 套件。

    如需有關 fort-validator 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/fort-validator

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：這是經數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4066：fort-validator - 安全性更新

critical Nessus Plugin ID 216672

版本 1.1