遠端 Debian 11 主機上安裝的多個套件受到 dla-4019 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4019-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：busybox 版本：1:1.30.1-6+deb11u1 CVE ID：CVE-2021-28831 CVE-2021-42374 CVE-2021-42378 CVE-2021-42379 CVE-2021-42380 CVE-2021-42381 CVE-2021-42382 CVE-2021-42384 CVE-2021-42385 CVE-2021-42386 CVE-2022-48174 CVE-2023-42364 CVE-2023-42365 Debian 錯誤： 985674 999567 1059049 1059051 1059052

    在 BusyBox (包含多種 Unix 公用程式的輕量型單一執行檔) 中發現多個弱點，攻擊者可透過格式錯誤的 gzip 資料、特製的 LZMA 輸入或特製的 awk 模式，來造成拒絕服務、資訊洩漏或執行任意程式碼。

    CVE-2021-28831

        在 BusyBox 1.32.1 及其之前的所有版本中，decompress_gunzip.c 會錯誤處理 huft_build 結果指針的錯誤位元，因此攻擊者可透過格式錯誤的 gzip 資料造成無效釋放或段錯誤。

    CVE-2021-42374

        解壓縮特製的 LZMA 壓縮輸入時，Busybox 的 unlzma 小程式中的超出邊界堆積讀取會導致資訊洩漏和程式拒絕服務。此弱點可以由符合以下條件的任何小程式/格式觸發 

    CVE-2021-42378

        在 getvar_i 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42379

        在 next_input_file 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42380

        在 clrvar 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42381

        在 hash_init 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42382

        在 getvar_s 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42384

        在 handle_special 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42385

        在 evaluate  函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42386

        在 nvalloc 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2022-48174

        busybox 1.35 之前版本的 ash.c:6030 中包含堆疊溢位弱點。在車聯網環境中，可透過任意程式碼執行命令利用此弱點。

    CVE-2023-42364

        BusyBox v.1.36.1 中的釋放後使用弱點允許攻擊者透過 awk.c evaluate 函式中特製的 awk 模式來造成拒絕服務。

    CVE-2023-42365

        在 BusyBox v.1.36.1 中，透過 awk.c copyvar 函式中特製的 awk 模式可觸發釋放後使用弱點。

    針對 Debian 11 bullseye，已在 1:1.30.1-6+deb11u1 版本中修正這些問題。

    建議您升級 busybox 套件。

    如需有關 busybox 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/busybox

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 18.04 LTS / 20.04 LTS / 21.04 / 21.10 主機上安裝的套件受到 USN-5179-1 公告中所提及的多個弱點影響。

  - 在 BusyBox 1.32.1 之前的所有版本中，decompress_gunzip.c 會錯誤處理 huft_build 結果指針的錯誤位元，攻擊者透過格式錯誤的 gzip 資料可造成無效釋放或分割錯誤。(CVE-2021-28831)

  - 解壓縮特製的 LZMA 壓縮輸入時，Busybox 的 unlzma applet 中的越界堆積讀取會導致資訊洩漏和拒絕服務。此弱點可以由符合以下條件的任何 applet/格式觸發 (CVE-2021-42374)

  - 在 getvar_i 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42378)

  - 在 next_input_file 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42379)

  - 在 clrvar 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42380)

  - 在 hash_init 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42381)

  - 在 getvar_s 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42382)

  - 在 handle_special 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42384)

  - 在 evaluate 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42385)

  - 在 nvalloc 函式中處理特製的 awk 模式時，Busybox 的 awk applet 中有一個釋放後使用問題，可導致拒絕服務並可能執行程式碼 (CVE-2021-42386)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202407-17 中所述的弱點影響 (BusyBox：多個弱點)

    在 BusyBox 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
214387	Debian dla-4019：busybox - 安全性更新	Nessus	Debian Local Security Checks	2025/1/19	2025/1/19	critical
155939	Ubuntu 18.04 LTS / 20.04 LTS：BusyBox 弱點 (USN-5179-1)	Nessus	Ubuntu Local Security Checks	2021/12/8	2024/9/19	critical
201913	GLSA-202407-17：BusyBox：多個弱點	Nessus	Gentoo Local Security Checks	2024/7/5	2024/7/5	critical

偵測

搜尋 Plugin

critical

critical

critical