遠端主機上安裝的 IBM Spectrum Protect Plus Web UI 版本比 10.1.17.1 IBM Spectrum Protect Plus 舊。因此會受到 7237702 公告中所提及的多個弱點影響。

  - 此問題會影響 9.0.0之前的套件 node-notifier。由於傳送陣列時選項參數未經過清理它可讓攻擊者在 Linux 機器上執行任意命令。 (CVE-2020-7789)

  - Flask 是輕量型 WSGI Web 應用程式架構。當符合下列所有條件時，包含預定給一個用戶端的資料的回應可能會遭到快取，然後由 Proxy 傳送至其他用戶端。如果 Proxy 也快取「Set-Cookie」標頭，它可能會傳送一個用戶端的「session」cookie 給其他用戶端。该弱点的嚴重性取決於應用程式對工作階段的使用，以及有關 Cookie 的 Proxy 行為。風險取決於是否符合所有這些條件：1. 應用程式必須由不去除 Cookie 或忽略 Cookie 回應的快取代理伺服器主控。2. 應用程式設定「session.permanent = True」3. 在要求期間，應用程式不會存取或修改工作階段。4. 啟用「SESSION_REFRESH_EACH_REQUEST」(預設)。5. 應用程式未設定「Cache-Control」標頭以指示頁面為私人頁面或不應快取。會發生此問題是因為有弱點的 Flask 版本只在存取或修改工作階段時設定 `Vary: Cookie` 標頭而不是在重新整理工作階段 (重新傳送以更新到期日)而不存取或修改工作階段時設定 `Vary: Cookie` 標頭。此問題已在 2.3.2 和 2.2.5 版中修正。(CVE-2023-30861)

  - Requests 是一個 HTTP 程式庫。自 Requests 2.3.0 起，Requests 重新導向至 HTTPS 端點時會向目的地伺服器洩漏 Proxy-Authorization 標頭。這是我們使用 `rebuild_proxies` 將 `Proxy-Authorization` 標頭重新附加到要求的結果。對於透過通道傳送的 HTTP 連線，Proxy 會識別要求本身中的標頭，並在轉送至目的地伺服器之前將其移除。但在透過 HTTPS 傳送時，因為 Proxy 無法檢視通道要求，因而必須在 CONNECT 要求中傳送「Proxy-Authorization」標頭。這會導致 Requests 意外將 Proxy 憑證轉送至目的地伺服器，進而允許惡意執行者洩漏敏感資訊。此問題已在 2.31.0 版中修正。
    (CVE-2023-32681)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/24.10 主機上安裝的套件受到 USN-7574-1 公告中所提及的多個弱點影響。

    Kyle Seely 發現Go net/http 模組在重複重新導向期間未正確處理敏感標頭。攻擊者可能會利用此問題取得敏感資訊。
    (CVE-2024-45336)

    Juho Forsn 發現Go crypto/x509 模組在 URI 剖析期間未正確處理 IPv6 位址。攻擊者可能利用此問題繞過憑證 URI 限制。 (CVE-2024-45341)

    據發現Go crypto 模組在某些情況下未正確處理 64 位元 Power (ppc64el) 系統上的變數時間指令。攻擊者可能利用此問題洩漏敏感資訊。 (CVE-2025-22866)

    據發現Go http/httpproxy 模組在主機名稱比對期間未正確處理 IPv6 區域 ID。攻擊者可能利用此問題造成拒絕服務。(CVE-2025-22870)

    Takeshi Kaneko 發現Go net/http 模組在重新導向要求期間未正確去除敏感的 proxy 標頭。攻擊者可能會利用此問題取得敏感資訊。
    (CVE-2025-4673)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Azure Linux 3.0 主機上安裝的 azcopy / git-lfs / golang / influxdb / keda 版本比測試版舊。因此，此版本會受到 CVE-2025-22870 公告中提及的一個弱點影響。

  - 依據 Proxy 模式比對主機可不當將 IPv6 區域 ID 視為主機名稱元件。例如當 NO_PROXY 環境變數設為 *.example.com時對 [::1%25.example.com]:80` 的要求將會錯誤比對且不會被代理。 (CVE-2025-22870)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 golang 版本早於 1.23.7-1。因此，會受到 ALAS2-2025-2795 公告中所提及的多個弱點影響。

    net/http：跨網域重新導向後，錯誤傳送敏感標頭

    遵循跨網域重新導向後，HTTP 用戶端會捨棄敏感標頭。例如，對 a.com/ 的要求 (包含重新導向至 b.com/ 的授權標頭) 不會將該標頭傳送至 b.com。

    不過，倘若用戶端收到後續相同網域的重新導向，則會還原敏感標頭。例如，從 a.com/ 到 b.com/1 最後到 b.com/2 的重新導向鏈會錯誤地將 Authorizationheader 傳送至 b.com/2。

    感謝 Kyle Seely 報告此問題。(CVE-2024-45336)

    crypto/x509：使用 IPv6 區域 ID 可繞過 URI 名稱限制

    URI (其 IPv6 位址的區域 ID 為區域 ID) 憑證可能不正確地符合適用於憑證鏈的 URI 名稱限制。

    Web PKI 中不允許使用含有 URI 的憑證，因此這只會影響使用 URI 的私人 PKI 使用者。

    感謝 Mattermost 的 Juho Forsen 報告此問題。(CVE-2024-45341)

    注意：https://groups.google.com/g/golang-announce/c/4t3lzH3I0eI/m/b42ImqrBAQAJNOTE:
    https://github.com/golang/go/issues/71984NOTE: 修正者：
    https://github.com/golang/go/commit/334de7982f8ec959c74470dd709ceedfd6dbd50a (go1.24.1) 注意： 修正者：
    https://github.com/golang/go/commit/25177ecde0922c50753c043579d17828b7ee88e7 (go1.23.7) (CVE-2025-22870)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，此版本會受到 ALAS2023-2025-913 公告中提及的一個弱點影響。

    注意：https://groups.google.com/g/golang-announce/c/4t3lzH3I0eI/m/b42ImqrBAQAJNOTE:
    https://github.com/golang/go/issues/71984NOTE: 修正者：
    https://github.com/golang/go/commit/334de7982f8ec959c74470dd709ceedfd6dbd50a (go1.24.1) 注意： 修正者：
    https://github.com/golang/go/commit/25177ecde0922c50753c043579d17828b7ee88e7 (go1.23.7) (CVE-2025-22870)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 依據 Proxy 模式比對主機可不當將 IPv6 區域 ID 視為主機名稱元件。例如當 NO_PROXY 環境變數設為 *.example.com時對 [::1%25.example.com]:80` 的要求將會錯誤比對且不會被代理。 (CVE-2025-22870)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2025/6/25	high
240198	Ubuntu 22.04 LTS / 24.04 LTS / 24.10 Go 弱點 (USN-7574-1)	Nessus	Ubuntu Local Security Checks	2025/6/19	2025/7/4	medium
233498	Azure Linux 3.0 安全性更新azcopy / git-lfs / golang / influxdb / keda (CVE-2025-22870)	Nessus	Azure Linux Local Security Checks	2025/3/29	2025/7/11	medium
233376	Amazon Linux 2：golang (ALAS-2025-2795)	Nessus	Amazon Linux Local Security Checks	2025/3/27	2025/3/27	medium
233692	Amazon Linux 2023：golang、golang-bin、golang-misc (ALAS2023-2025-913)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	medium
232161	Linux Distros 未修補的弱點：CVE-2025-22870	Nessus	Misc.	2025/3/6	2025/8/10	medium

偵測

搜尋 Plugin

high

medium

medium

medium

medium

medium