遠端 Debian 11 主機安裝了一個受到 dla-4263 公告中所提及一個弱點影響的套件。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4263-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 8 月 4 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ruby-graphql 版本 1.11.12-0+deb11u1 CVE ID CVE-2025-27407 Debian 錯誤 1100442

    ruby-graphql 是適用於 Ruby 的 GraphQL 語言和運行時間。據發現在 `GraphQL::Schema.from_introspection` (或 `GraphQL::Schema::Loader.load`) 中載入惡意配置定義可導致遠端程式碼執行。
    任何以 JSON 從未受信任之來源載入配置的系統都容易遭受攻擊包括透過 GraphQL 自我檢查使用 GraphQL::Client 載入外部配置的系統。

    針對 Debian 11 Bullseye此問題已在 1.11.12-0+deb11u1 版本中修正。

    建議您升級 ruby-graphql 套件。

    如需 ruby-graphql 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/ruby-graphql

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4263ruby-graphql - 安全性更新

critical Nessus Plugin ID 243314

版本 1.1