Linux Distros 未修補的弱點：CVE-2025-13353
high Nessus Plugin ID 277090
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- 在 gokey <0.2.0版中種子解密邏輯中的瑕疵會導緻密碼錯誤地只從金鑰種子的初始向量和 AES-GCM 驗證標籤衍生。此問題已在 gokey 版本 0.2.0中修正。這是重大變更。該修正已使從種子檔案 (使用 -s 選項) 衍生的任何密碼/密碼無效。即使輸入種子檔案保持不變 0.2.0 版 gokey 仍會產生不同的密碼。影響此弱點會影響使用種子檔案作為熵輸入 (使用 -s 選項) 產生的金鑰/密碼。僅從主要密碼 (不含 -s 選項) 產生的金鑰/密碼不會受到影響。種子本身的機密性也不會受到影響 (不需要重新產生種子本身)。具體影響包括：
* 從種子檔案產生的金鑰/密碼可能具有較低的熵預期會使用整個種子來產生金鑰 (240 位元組的熵輸入)而在有弱點的版本中僅使用 28 位元組 * 惡意實體可能有在不知道種子主要密碼的情況下復原了只有擁有種子檔案的特定種子產生的所有密碼 修補程式 程式碼邏輯錯誤已在 gokey 0.2.0 和更新版本中修正。由於 gokey 的確定性特性修正後的版本將使用種子檔案產生不同的密碼/密碼因為現在將使用所有種子熵。
系統密碼輪替指南 建議使用者使用 gokey 的修補版本 (0.2.0 和以上版本) 重新產生密碼/密碼並將這些密碼佈建/旋轉至個別系統以取代舊密碼。特定的輪替程序因係統而異但最常見的模式描述如下。不需要舊密碼/密碼進行輪替的系統此類系統通常具有忘記密碼設施或類似設施允許使用者將唯一的 magic 連結傳送至使用者的電子郵件或電話號碼來輪替其密碼/密碼。在這種情況下建議使用者使用此工具並在系統提示時輸入新產生的密碼密碼。需要舊密碼/密碼才能輪替的系統。這類系統的使用者設定區段中通常會有一個強制回應密碼輪替視窗要求使用者輸入新舊密碼 (有時還需要確認)。若要在這種情況下產生/復原舊密碼建議使用者執行以下動作* 暫時下載其各自作業系統的 gokey 0.1.3 https://github.com/cloudflare/gokey/releases/tag/v0.1.3 版以復原舊密碼 * 使用 gokey 0.2.0 或更新版本來產生新密碼 * 填入提供的系統密碼輪替表單 允許佈建相同帳戶之多個認證的系統。這類系統通常需要密碼或密碼編譯金鑰作為存取認證，但允許同時提供多個認證。SSH 就是其中的一個例子：特定使用者可能在 SSH 伺服器上設定了數個授權公開金鑰可供存取。針對此類系統建議使用者* 使用 gokey 0.2.0 版或以上版本產生新的密碼/金鑰/認證 * 除了系統上的現有認證以外也可佈建新的密碼/金鑰/認證 * 驗證存取權或所需的系統仍可使用新的密碼/金鑰/認證進行作業 * 從系統撤銷對現有/舊認證的授權。 報告者此弱點是由 Tho Cusnir ( @mister_mime https://hackerone.com/mister_mime ) 發現並透過 Cloudflare 的錯誤賞金計劃負責任地洩漏。 (CVE-2025-13353)
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 277090
檔案名稱: unpatched_CVE_2025_13353.nasl
版本: 1.3
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/12/3
已更新: 2026/1/2
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: Medium
基本分數: 4
時間性分數: 3.4
媒介: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2025-13353
CVSS v3
風險因素: Medium
基本分數: 5.5
時間性分數: 5.1
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
風險因素: High
Base Score: 7.1
Threat Score: 4
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:25.04, cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:debian:debian_linux:gokey, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:gokey, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2025/12/2
參考資訊
CVE: CVE-2025-13353