遠端 Debian 10 主機上安裝的一個套件受到 dla-3516 公告中提及的多個弱點影響。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特製的 JSON 檔案時，整個 ruby 處理程序會損毀，並且 yajl_encode.c 的 yajl_string_decode 函式會發出 SIGABRT 訊號。這會導致整個 ruby 處理程序終止，並可能導致拒絕服務。(CVE-2017-16516)

  - yajl-ruby 是繫結至 YAJL JSON 剖析和產生庫的 C 語言庫。「yajl」的 1.x 分支和 2.x 分支中包含整數溢位弱點，在處理大型 (~2GB) 輸入時，此弱點可導致後續發生堆積記憶體損毀。「yajl_buf.c#L64」的重新配置邏輯可能會在「need」值接近 0x80000000 (即 ~2GB 資料) 時造成「need」32 位元整數換行，進而使 buf->alloc 重新配置到較小的堆積區塊中。在「yajl」的 2.x 分支中，這些整數被宣告為「size_t」，這實際上可防止在 64 位元平台上觸發此問題，但並不排除在「size_t」為 32 位元整數的 32 位元版本上觸發此問題。後續根據原始緩衝區大小填充此配置不足的堆積區塊時，可導致堆積記憶體損毀。此弱點主要影響處理程序的可用性。維護者認為，攻擊者不可能利用此弱點來執行任意程式碼。現已提供修補程式，預計 yajl-ruby 1.4.2 版本中會納入修補程式。因應措施是避免傳遞大量輸入至 YAJL。(CVE-2022-24795)

  - 在使用 yajl_tree_parse 函式的 yajl 2.1.0 中有記憶體洩漏問題。這會造成伺服器記憶體不足並造成當機。(CVE-2023-33460)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 20.04 LTS/22.04 LTS/23.04 主機上安裝的套件受到 USN-6233-2 公告中所提及的多個弱點影響。

    USN-6233-1 已修正 YAJL 中的弱點。此更新提供 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 與 Ubuntu 23.04 的對應更新。



Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 ESM / 18.04 ESM 主機上安裝的多個套件受到 USN-6233-1 公告中提及的多個弱點影響。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特製的 JSON 檔案時，整個 ruby 處理程序會損毀，並且 yajl_encode.c 的 yajl_string_decode 函式會發出 SIGABRT 訊號。這會導致整個 ruby 處理程序終止，並可能導致拒絕服務。(CVE-2017-16516)

  - yajl-ruby 是繫結至 YAJL JSON 剖析和產生庫的 C 語言庫。「yajl」的 1.x 分支和 2.x 分支中包含整數溢位弱點，在處理大型 (~2GB) 輸入時，此弱點可導致後續發生堆積記憶體損毀。「yajl_buf.c#L64」的重新配置邏輯可能會在「need」值接近 0x80000000 (即 ~2GB 資料) 時造成「need」32 位元整數換行，進而使 buf->alloc 重新配置到較小的堆積區塊中。在「yajl」的 2.x 分支中，這些整數被宣告為「size_t」，這實際上可防止在 64 位元平台上觸發此問題，但並不排除在「size_t」為 32 位元整數的 32 位元版本上觸發此問題。後續根據原始緩衝區大小填充此配置不足的堆積區塊時，可導致堆積記憶體損毀。此弱點主要影響處理程序的可用性。維護者認為，攻擊者不可能利用此弱點來執行任意程式碼。現已提供修補程式，預計 yajl-ruby 1.4.2 版本中會納入修補程式。因應措施是避免傳遞大量輸入至 YAJL。(CVE-2022-24795)

  - 在使用 yajl_tree_parse 函式的 yajl 2.1.0 中有記憶體洩漏問題。這會造成伺服器記憶體不足並造成當機。(CVE-2023-33460)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3492 公告中提及的多個弱點影響。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特製的 JSON 檔案時，整個 ruby 處理程序會損毀，並且 yajl_encode.c 的 yajl_string_decode 函式會發出 SIGABRT 訊號。這會導致整個 ruby 處理程序終止，並可能導致拒絕服務。(CVE-2017-16516)

  - yajl-ruby 是繫結至 YAJL JSON 剖析和產生庫的 C 語言庫。「yajl」的 1.x 分支和 2.x 分支中包含整數溢位弱點，在處理大型 (~2GB) 輸入時，此弱點可導致後續發生堆積記憶體損毀。「yajl_buf.c#L64」的重新配置邏輯可能會在「need」值接近 0x80000000 (即 ~2GB 資料) 時造成「need」32 位元整數換行，進而使 buf->alloc 重新配置到較小的堆積區塊中。在「yajl」的 2.x 分支中，這些整數被宣告為「size_t」，這實際上可防止在 64 位元平台上觸發此問題，但並不排除在「size_t」為 32 位元整數的 32 位元版本上觸發此問題。後續根據原始緩衝區大小填充此配置不足的堆積區塊時，可導致堆積記憶體損毀。此弱點主要影響處理程序的可用性。維護者認為，攻擊者不可能利用此弱點來執行任意程式碼。現已提供修補程式，預計 yajl-ruby 1.4.2 版本中會納入修補程式。因應措施是避免傳遞大量輸入至 YAJL。(CVE-2022-24795)

  - 在使用 yajl_tree_parse 函式的 yajl 2.1.0 中有記憶體洩漏問題。這會造成伺服器記憶體不足並造成當機。(CVE-2023-33460)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 JSON 串流型剖析器程式庫的 Yajl 介面 ruby-yajl 中發現一個弱點。提供特製的 JSON 檔案給 Yajl::Parser.new.parse 時，yajl_encode.c 的 yajl_string_decode 函式中會出現 SIGABRT，造成 ruby 處理程序全面損毀。此問題可能導致拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 1.1.0-2+deb7u1 版本中修正。建議您升級 ruby-yajl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，將特製的 JSON 檔案提供給 Yajl::Parser.new.parse 時，整個 ruby 處理程序會因 yajl_encode.c 的 yajl_string_decode 函式中出現 SIGABRT 而損毀。這會導致整個 ruby 處理程序終止，並可能導致拒絕服務。(CVE-2017-16516)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
179386	Debian DLA-3516-1：burp - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/8/5	2025/1/22	high
186986	Ubuntu 20.04 LTS / 22.04 LTS / 23.04：YAJL 弱點 (USN-6233-2)	Nessus	Ubuntu Local Security Checks	2023/12/15	2024/10/29	high
178443	Ubuntu 16.04 ESM / 18.04 ESM：YAJL 弱點 (USN-6233-1)	Nessus	Ubuntu Local Security Checks	2023/7/18	2024/8/27	high
178173	Debian DLA-3492-1：yajl - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/7/11	2025/1/22	high
104464	Debian DLA-1167-1：ruby-yajl 安全性更新	Nessus	Debian Local Security Checks	2017/11/9	2021/1/11	high
220961	Linux Distros 未修補弱點：CVE-2017-16516	Nessus	Misc.	2025/3/4	2025/8/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high