遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2023-4034 公告中提及的多個弱點影響。

  - c-ares 是一個非同步解析器程式庫。當 /dev/urandom 或 RtlGenRandom() 不可用時，c-ares 會使用 rand() 產生用於 DNS 查詢 ID 的隨機數。這不是 CSPRNG，也不是由 srand() 植入，因此會產生可預測的輸出。來自亂數產生器的輸入會饋送到不相容的 RC4 實作中，且可能不如原始 RC4 實作強。其不會嘗試尋找現代作業系統提供的 CSPRNG，例如可廣泛使用的 arc4random()。 1.19.1 版已修正此問題。(CVE-2023-31147)

  - c-ares 是一個非同步解析器程式庫。 ares_inet_net_pton() 容易受到某些 ipv6 位址的緩衝區反向溢位影響，特別是 0：: 00: 00: 00/2 會造成問題。C-ares 僅在內部使用此函式進行組態，這會要求系統管理員透過 ares_set_sortlist() 設定此類位址。但是，使用者可能會從外部將 ares_inet_net_pton() 用於其他目的，因此容易受到更嚴重的問題影響。此問題已在 1.19.1 中修正。(CVE-2023-31130)

  - c-ares 是一個非同步解析器程式庫。c-ares 容易遭受拒絕服務攻擊。如果目標解析器傳送查詢，攻擊者會偽造長度為 0 的格式錯誤的 UDP 封包，並將其傳回目標解析器。目標解析器錯誤地將 0 長度解譯為連線的正常關閉。此問題已在 1.19.1 版中修正。(CVE-2023-32067)

  - c-ares 是一個非同步解析器程式庫。交叉編譯 c-ares 並使用 autotools 構建系統時，將不會設定 CARES_RANDOM_FILE，如交叉編譯 aarch64 android 時所出現的那樣。這將降級為使用 rand() 作為遞補，進而允許攻擊者不使用 CSPRNG 來利用缺少熵的情況。此問題已在 1.19.1 版中修補。(CVE-2023-31124)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 ESM / 18.04 ESM 主機上安裝的多個套件受到 USN-6164-2 公告中提及的多個弱點影響。

    USN-6164-1 已修正 c-ares 中的數個弱點。此更新提供 Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS 的對應更新。



Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9.2 主機已安裝的套件會受到 CIQ ciqsa-2026_0400 公告中提及的多個弱點影響。

    此公告彙總了 CIQ LTS 9.2中 c-ares SRPM 的安全性修正。它解決了 5 個 CVE：
    CVE-2023-31124、、 CVE-2023-31147、 CVE-2023-31130、 CVE-2023-32067、 CVE-2022-4904。

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2025：1744721593 公告中提及的多個弱點影響。

  - c-ares 是一個非同步解析器程式庫。交叉編譯 c-ares 並使用 autotools 構建系統時，將不會設定 CARES_RANDOM_FILE，如交叉編譯 aarch64 android 時所出現的那樣。這將降級為使用 rand() 作為遞補，進而允許攻擊者不使用 CSPRNG 來利用缺少熵的情況。此問題已在 1.19.1 版中修補。(CVE-2023-31124)

  - c-ares 是一個非同步解析器程式庫。ares_inet_net_pton() 容易受到某些 ipv6 位址的緩衝區反向溢位影響，特別是 0::00:00:00/2 會造成問題。C-ares 僅在內部使用此函式進行組態，這會要求系統管理員透過 ares_set_sortlist() 設定此類位址。但是，使用者可能會從外部將 ares_inet_net_pton() 用於其他目的，因此容易受到更嚴重的問題影響。此問題已在 1.19.1 中修正。(CVE-2023-31130)

  - c-ares 是一個非同步解析器程式庫。當 /dev/urandom 或 RtlGenRandom() 不可用時，c-ares 會使用 rand() 產生用於 DNS 查詢 ID 的隨機數。這不是 CSPRNG，也不是由 srand() 植入，因此會產生可預測的輸出。來自亂數產生器的輸入會饋送到不相容的 RC4 實作中，且可能不如原始 RC4 實作強。其不會嘗試尋找現代作業系統提供的 CSPRNG，例如可廣泛使用的 arc4random()。1.19.1 版已修正此問題。(CVE-2023-31147)

  - c-ares 是適用於非同步 DNS 要求的 C 程式庫。 `ares__read_line()` 用於剖析本機設定檔，例如 `/etc/resolv.conf`、`/etc/nsswitch.conf`、`HOSTALIASES` 檔案，如果使用 1.27.0 之前版本的 c-ares，則剖析的是 `/etc/hosts` 檔案。如果其中任何一個設定檔將內嵌的 `NULL` 字元做為新行的第一個字元，可導致嘗試在指定緩衝區開始之前讀取記憶體，進而可能導致當機。此問題已在 c-ares 1.27.0 中修復。
    目前尚無已知的因應措施。(CVE-2024-25629)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2023_4035 公告中提及的多個弱點影響。

    * c-ares：0 位元組 UDP 負載 拒絕服務 （CVE-2023-32067）

    * c-ares：由於缺少字串長度檢查 （CVE-2022-4904），config_sortlist（） 中發生緩衝區溢位

    * c-ares：ares_inet_net_pton（） 中的緩衝區承保 （CVE-2023-31130）

    * c-ares：產生 DNS 查詢 ID 的隨機性不足 （CVE-2023-31147）

    * c-ares：AutoTools 在交叉編譯期間不設定CARES_RANDOM_FILE （CVE-2023-31124）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
178579	Oracle Linux 8：nodejs: 16 (ELSA-2023-4034)	Nessus	Oracle Linux Local Security Checks	2023/7/20	2025/9/9	medium
181249	Ubuntu 16.04 ESM / 18.04 ESM：c-ares 弱點 (USN-6164-2)	Nessus	Ubuntu Local Security Checks	2023/9/11	2024/10/29	medium
357172	Rocky Linux 9.2 [CIQ] 安全性更新：c-ares / c-ares-debuginfo / c-ares-debugsource / c-ares-devel 多個弱點（ciqsa-2026_0400）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
359759	AlmaLinux 9.2 [TuxCare] 安全性更新：c-ares / c-ares-devel 多個弱點（ALMALINUX9.2：CLSA-2025：1744721593）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
354886	Rocky Linux 8 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2023_4035）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high

偵測

搜尋 Plugin

medium

medium

high

medium

high