遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:7085 公告中提及的一個弱點影響。

    pcs 套件可為 Pacemaker 和 Corosync 公用程式提供命令列組態系統。

    安全性修正：

    * rubygem-rackRack::CommonLogger 中可能發生的記錄插入 (CVE-2025-25184)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他變更：

    如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 9 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 主機上安裝的多個套件受到 USN-7366-1 公告中提及的多個弱點影響。

    Nht Thi 發現，Rack 未正確處理某些使用者名稱。遠端攻擊者可能會利用此問題發動 CRLF 插入攻擊。(CVE-2025-25184)

    Phm Quang Minh 發現，Rack 未正確處理某些標頭。遠端攻擊者可能會利用此問題發動記錄插入攻擊。(CVE-2025-27111)

    Phm Quang Minh 發現，Rack 未正確處理相對檔案路徑。遠端攻擊者可能會惡意利用此弱點，納入本應無法存取的本機檔案。(CVE-2025-27610)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的一個套件受到 dsa-5886 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5886-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ruby-rack CVE ID：CVE-2025-25184 CVE-2025-27111 CVE-2025-27610

    Rack (在 Ruby 中開發 Web 應用程式的介面) 中有多個安全性問題可導致記錄插入或資訊洩漏。

    針對穩定的發行版本 (bookworm)，已在 2.2.13-1~deb12u1 版中修正這些問題。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Rack 提供在 Ruby 中開發 Web 應用程式的介面。在 2.2.11、 3.0.12和 3.1.10版之前可惡意利用 Rack::CommonLogger 透過特製包含新行字元的輸入來操控記錄項目。提供的概念證明示範如何將惡意內容插入記錄中。
    當使用者透過 Rack::Auth::Basic 提供授權認證時若成功使用者名稱將會放在 env['REMOTE_USER'] 中稍後由 Rack::CommonLogger 用來做記錄目的。當伺服器有意或無意允許使用包含 CRLF 和空白字元的使用者建立的使用者或伺服器只想記錄每次登入嘗試時會發生此問題。如果攻擊者輸入含有 CRLF 字元的使用者名稱記錄器會將含有 CRLF 字元的惡意使用者名稱記錄到記錄檔中。攻擊者可破解記錄格式或插入偽造項目進而可能遮蔽真實活動或將惡意資料插入記錄檔。 2.2.11、 3.0.12和 3.1.10 版包含一個修正。
    (CVE-2025-25184)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4090 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4090-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 24 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: ruby-rack 版本: 2.1.4-3+deb11u3 CVE ID: CVE-2025-25184 CVE-2025-27111 CVE-2025-27610 Debian 錯誤: 1098257 1099546 1100444

    已在 ruby-rack (用於在 Ruby 中開發 Web 應用程式的介面) 中修正多個弱點。

    CVE-2025-25184

        Rack::CommonLogger 中的記錄插入

    CVE-2025-27111

        Rack::Sendfile 中的記錄插入

    CVE-2025-27610

        Rack::Static 中的本機檔案包含

    針對 Debian 11 Bullseye，這些問題已在 2.1.4-3+deb11u3 版本中修復。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上安裝的套件受到 ELSA-2025-7085 公告中提及的一個弱點影響。

    [0.11.9-2]
    - 修正重新啟動套件組合解決 RHEL-79055
    - 修正設定錯誤的套件組合之刪除問題解決 RHEL-79160
    - 修正 web 主控台中的資源複製篩選解決 RHEL-78653
    - 更新版隨附的 rubygem rack 解決 RHEL-79500

    [0.11.9-1]
    - 將 pcs 重定基底至最新的來源 (請參閱 CHANGELOG.md) 解決 RHEL-44420
    - 將 pcs-web-ui 更新至 版 0.1.22

    [0.11.8-2]
    - 將 pcs 重定基底至最新來源 (請參閱 CHANGELOG.md)

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
235810	RHEL 9：pcs (RHSA-2025:7085)	Nessus	Red Hat Local Security Checks	2025/5/13	2025/7/1	high
233300	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10: Rack 弱點 (USN-7366-1)	Nessus	Ubuntu Local Security Checks	2025/3/24	2025/6/6	medium
233339	Debian dsa-5886：ruby-rack - 安全性更新	Nessus	Debian Local Security Checks	2025/3/25	2025/6/6	medium
230824	Linux Distros 未修補的弱點：CVE-2025-25184	Nessus	Misc.	2025/3/6	2025/8/7	medium
233303	Debian dla-4090: ruby-rack - 安全性更新	Nessus	Debian Local Security Checks	2025/3/24	2025/6/6	medium
237058	Oracle Linux 9：pcs (ELSA-2025-7085)	Nessus	Oracle Linux Local Security Checks	2025/5/22	2025/5/22	high

偵測

搜尋 Plugin

high

medium

medium

medium

medium

high