遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6058 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6058-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：lasso CVE ID：CVE-2025-46404 CVE-2025-46705 CVE-2025-47151

    Keane O'Kelley 在 lasso (實作 Liberty Alliance 和 SAML 通訊協定的程式庫) 中發現數個弱點，這些弱點可能導致拒絕服務或任意程式碼執行。

    針對舊的穩定發行版本 (bookworm)，已在第 2.8.1-1+deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 2.8.2-9+deb13u1 版中修復這些問題。

    建議您升級 lasso 套件。

    如需有關 lasso 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/lasso

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.04 主機上安裝的套件受到 USN-7872-1 公告中所提及的多個弱點影響。

    據發現，Lasso 未正確處理某些格式錯誤的 SAML 記錄回應。遠端攻擊者可能會利用此問題造成 Lasso 損毀，從而引發拒絕服務。(CVE-2025-46404)

    據發現，Lasso 未正確處理某些格式錯誤的 SAML 斷言回應。遠端攻擊者可能會利用此問題造成 Lasso 損毀，從而引發拒絕服務。
    (CVE-2025-46705)

    據發現，Lasso 未正確處理某些格式錯誤的 SAML 記錄回應。遠端攻擊者可能利用此問題造成 Lasso 消耗記憶體，進而導致拒絕服務。這個問題只會影響 Ubuntu 22.04 LTS。(CVE-2025-46784)

    據發現，Lasso 未正確處理某些格式錯誤的 SAML 記錄回應。遠端攻擊者可利用此問題造成 Lasso 當機，進而引發拒絕服務或可能執行任意程式碼。(CVE-2025-47151)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1787331325 公告中提及的弱點影響。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4397 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4397-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 12 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：lasso 版本：2.6.1-3+deb11u1 CVE ID：CVE-2025-46404 CVE-2025-46705 CVE-2025-46784 CVE-2025-47151

    Keane O'Kelley 在 lasso (實作 Liberty Alliance 和 SAML 通訊協定的程式庫) 中發現數個弱點，這些弱點可能導致拒絕服務或任意程式碼執行。

    針對 Debian 11 bullseye，已在 2.6.1-3+deb11u1 版本中修正這些問題。

    建議您升級 lasso 套件。

    如需有關 lasso 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/lasso

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2025-1285 公告中所提及的多個弱點影響。

    Entr'ouvert Lasso 2.5.1 的 lasso_provider_verify_saml_signature 功能中存在拒絕服務弱點。特製的 SAML 回應可能會導致拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-46404)

    Entr'ouvert Lasso 2.5.1 和 2.8.2 的 g_assert_not_reached 功能中存在拒絕服務弱點。特製的 SAML 宣告回應可能會導致拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-46705)

    Entr'ouvert Lasso 2.5.1 和 2.8.2的 lasso_node_impl_init_from_xml 功能中存在類型混淆弱點。特製的 SAML 回應可能會導致攻擊者執行任意程式碼。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-47151)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1787329313 公告中所述弱點影響。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1787331325 公告中提及的弱點影響。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Entr'ouvert Lasso 2.5.1 和 2.8.2的 g_assert_not_reached 功能中存在一個拒絕服務弱點。特製的 SAML 宣告回應會導致拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。 (CVE-2025-46705)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 lasso 版本為早於 2.9.0-1 的版本。因此，會受到 ALAS2-2025-3077 公告中所提及的多個弱點影響。

    Entr'ouvert Lasso 2.5.1 的 lasso_provider_verify_saml_signature 功能中存在拒絕服務弱點。特製的 SAML 回應可能會導致拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-46404)

    Entr'ouvert Lasso 2.5.1 和 2.8.2 的 g_assert_not_reached 功能中存在拒絕服務弱點。特製的 SAML 宣告回應可能會導致拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-46705)

    Entr'ouvert Lasso 2.5.1 的 lasso_node_init_from_message_with_format 功能中存在拒絕服務弱點。特製的 SAML 回應可能會導致記憶體耗盡，進而造成拒絕服務。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。
    (CVE-2025-46784)

    Entr'ouvert Lasso 2.5.1 和 2.8.2的 lasso_node_impl_init_from_xml 功能中存在類型混淆弱點。特製的 SAML 回應可能會導致攻擊者執行任意程式碼。攻擊者可傳送格式錯誤的 SAML 回應來觸發此弱點。(CVE-2025-47151)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
275497	Debian dsa-6058：liblasso-perl - 安全性更新	Nessus	Debian Local Security Checks	2025/11/15	2025/11/15	critical
275817	Ubuntu 22.04 LTS / 24.04 LTS / 25.04：Lasso 弱點 (USN-7872-1)	Nessus	Ubuntu Local Security Checks	2025/11/19	2025/11/19	critical
361455	AlmaLinux 9.6 [TuxCare] 安全性更新：lasso / lasso-devel / perl-lasso / python3-lasso （ALMALINUX9.6：CLSA-2026：1787331325）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/2	high
277604	Debian dla-4397：liblasso-perl - 安全性更新	Nessus	Debian Local Security Checks	2025/12/8	2025/12/8	critical
274695	Amazon Linux 2023：lasso、lasso-devel、perl-lasso (ALAS2023-2025-1285)	Nessus	Amazon Linux Local Security Checks	2025/11/11	2025/11/11	critical
359900	AlmaLinux 9.2 [TuxCare] 安全性更新：lasso / lasso-devel / perl-lasso / python3-lasso （ALMALINUX9.2：CLSA-2026：1787329313）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/2	high
362035	Rocky Linux 9.6 [TuxCare] 安全性更新：lasso / lasso-devel / perl-lasso / python3-lasso （ALMALINUX9.6：CLSA-2026：1787331325）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/2	high
274084	Linux Distros 未修補的弱點：CVE-2025-46705	Nessus	Misc.	2025/11/5	2026/9/23	high
274680	Amazon Linux 2：lasso --advisory ALAS2-2025-3077 (ALAS-2025-3077)	Nessus	Amazon Linux Local Security Checks	2025/11/11	2025/11/11	critical

偵測

搜尋 Plugin

critical

critical

high

critical

critical

high

high

high

critical