Azure Linux 3.0 安全性更新gh (CVE-2025-25204)

medium Nessus Plugin ID 295693

語言:

概要

遠端 Azure Linux 主機缺少一個或多個安全性更新。

說明

遠端 Azure Linux 3.0 主機上安裝的 gh 版本比測試版本舊。因此，它會受到 CVE-2025-25204 公告中提及的一個弱點影響。

- `gh` 是 GitHub 的官方命令行工具。從 2.49.0 版及其之前的版本及 2.67.0版之前的版本中特定情況下GitHub 的 Artifact Attestation cli 工具 `gh attestation verify` 中的錯誤會造成其在無任何證明時傳回零結束狀態。此行為不正確不存在任何證明時「gh attestation verify」應傳回非零的結束狀態程式碼從而發出驗證失敗的訊號。攻擊者可濫用此缺陷例如在將「gh attestation verify」之結束程式碼用於 gatekeep 部署的任何系統中部署惡意成品。建議使用者盡快將「gh」更新至修補版本「v2.67.0」。 (CVE-2025-25204)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。