遠端 Debian 11 主機安裝了一個套件其受到 dla-4151 公告中所提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------- Debian LTS 公告 DLA-4151-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 5 月 1 日 https://wiki.debian.org/LTS
    - --------------------------------------------------------------------------

    套件 golang-github-gorilla-csrf 版本1.6.2-2+deb11u1 CVE ID CVE-2025-24358 Debian 錯誤1103584

    在 Go 的 gorilla/csrf 套件中發現下列弱點

        在 1.7.3之前的版本中gorilla/csrf 並未根據允許清單驗證 Origin 標頭。只有在認為要求是透過 TLS 提供時才會對跨來源要求執行 Referer 標頭驗證。它會透過檢查 r.URL.Scheme 值來判斷這一點。不過此值從未填入符合 Go 規格的伺服器要求因此實際上並未執行此檢查。此弱點可讓在子網域或頂層網域上獲得 XSS 的攻擊者針對共用相同頂層網域的 gorilla/csrf 保護目標執行經驗證的表單提交。

    針對 Debian 11 Bullseye此問題已在 1.6.2-2+deb11u1 版本中修正。

    已重建下列 Go 套件以修復上述問題：

    golang-chroma golang-github-alecthomas-chroma-devgolang-github-niklasfasching-go-org-devgolang-github-yuin-goldmark-highlighting-devgo-org hugo

    建議您升級這些套件。

    如需 golang-github-gorilla-csrf 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/golang-github-gorilla-csrf

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4151 golang-github-gorilla-csrf-dev - 安全性更新

medium Nessus Plugin ID 235057

版本 1.1