遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4491 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4491-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 2 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.66.8-1+deb11u8 CVE ID CVE-2026-0988 CVE-2026-1484 CVE-2026-1485 CVE-2026-1489 Debian 錯誤 1125752 1126549 1126550 1126551

    在通用型可攜式公用程式程式庫 GLib 中發現多個問題如果處理惡意的特製資料可能會導致拒絕服務、記憶體損毀或可能執行任意程式碼。

    CVE-2026-0988

        Codean Labs 發現g_buffered_input_stream_peek() 函式中遺漏的位移和計數參數驗證可導致長度計算期間發生整數溢位。提供特製值時此溢位會導致將不正確的大小傳遞至 memcpy()進而觸發緩衝區溢位。這可造成應用程式損毀進而導致拒絕服務 (DoS)。

    CVE-2026-1484

        treeplus 並額外感謝 Sovereign Tech Agency 的 Sovereign Tech Resilience 計劃在處理極大輸入資料時在 GLib Base64 編碼常式中發現此問題。由於在長度計算期間不正確使用整數類型程式庫可能會錯誤計算緩衝區邊界。
        這可造成超出配置緩衝區的記憶體寫入。使用 GLib 處理不受信任或極大 Base64 輸入的應用程式可能會損毀或行為無法預測。

    CVE-2026-1485

        treeplus 和 Sovereign Tech Agency 的 Sovereign Tech Resilience 計畫共同在 Glib 的內容類型剖析邏輯中發現一個瑕疵。
        發生此緩衝區反向溢位弱點的原因是標頭行的長度是以帶正負號的整數儲存其可導致對非常大的輸入產生整數換行。這會導致指標反向溢位和超出邊界記憶體存取。惡意利用需要本機使用者安裝或處理特製的 treemagic 檔案其可導致本機拒絕服務或應用程式不穩定。

    CVE-2026-1489

        treeplus 和 Sovereign Tech Agency 的 Sovereign Tech Resilience 計劃的共同感謝發現 GLib 的一個瑕疵。其 Unicode 大小寫轉換實作中的整數溢位弱點可導致記憶體損毀。攻擊者可藉由處理特製的極大 Unicode 字串觸發記憶體配置容量不足進而導致超出邊界寫入。這可造成利用 GLib 進行字串轉換的應用程式損毀或變得不穩定。

    針對 Debian 11 Bullseye這些問題已在 2.66.8-1+deb11u8 版本中修正。

    我們建議您升級 glib2.0 套件。

    如需有關 glib2.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/glib2.0

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4491libglib2.0-0 - 安全性更新

medium Nessus Plugin ID 299773

版本 1.3