遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4452 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4452-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 1 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 apache2 版本 2.4.66-1~deb11u1 CVE ID CVE-2025-55753 CVE-2025-58098 CVE-2025-59775 CVE-2025-65082 CVE-2025-66200 Debian 錯誤 1121926

    已針對 apache httpd (受歡迎的 webserver) 修正多個弱點。

    CVE-2025-55753

        在 ACME 憑證續約失敗導致在數次失敗 (在預設組態下為 ~30 天) 之後退避計時器變成 0 的情況下發現一個整數溢位。然後會立即重複嘗試續約憑證直到成功為止

    CVE-2025-58098

        已啟用伺服器端包含 (SSI) 且 mod_cgid (而非 mod_cgi) 的 Apache 會將 shell-escaped 查詢字串傳遞至 #exec cmd=... 指示詞。

    CVE-2025-59775

        在 Windows 上的 Apache HTTP Server 中發現一個伺服器端要求偽造 (SSRF) 弱點允許在 AllowEncodedSlashes On 和 MergeSlashes Off 的情況下透過 SSRF 將 NTLM 雜湊洩漏給惡意伺服器

    CVE-2025-65082

        在 Apache HTTP Server 中透過 Apache 組態設定的環境變數發現逸出、中繼或控制序列的不當中和弱點。Apache 組態意外取代伺服器針對 CGI 程式計算的變數。

    CVE-2025-66200

        在 Apache HTTP Server 中發現一個透過 AllowOverride FileInfo 弱點造成的 mod_userdir+suexec 繞過。
        有權在 htaccess 中使用 RequestHeader 指示詞的使用者可造成某些 CGI 指令碼在非預期的使用者 ID 下執行。

    針對 Debian 11 Bullseye這些問題已在 2.4.66-1~deb11u1 版本中修正。

    我們建議您升級 apache2 套件。

    如需有關 apache2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/apache2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4452apache2 - 安全性更新

high Nessus Plugin ID 296510

版本 1.1