遠端 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 主機安裝的一個套件受到 USN-7843-1 公告中提及的一個弱點影響。

    據發現Netty 未正確處理使用者輸入。遠端攻擊者可能利用此問題偽造來自受信任伺服器的任意電子郵件。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據應用程式自我報告的版本號碼，遠端主機上的 Oracle GoldenGate for Big Data 應用程式受到多個弱點影響。

  - JDBC Driver for SQL Server 中的不當輸入驗證允許未經授權的攻擊者透過網路執行偽造。
    (CVE-2025-59250)

  - Apache Commons IO 中不受控制的資源消耗弱點。org.apache.commons.io.input.XmlStreamReader 類別在處理惡意特製的輸入時，可能會過度佔用 CPU 資源。(CVE-2024-47554)

  - Netty 是一種非同步事件驅動的網路應用程式架構用於開發可維護的高效能通訊協定伺服器和用戶端。在 4.1.124.Final 和 4.2.0.Alpha3 到 4.2.4.Final 版中Netty 錯誤地接受獨立新行字元 (LF) 做為區塊大小行結束字元無論其前面是否有歸位字元 (CR)而不是根據 HTTP/1.1 標準需要 CRLF。與以不同方式剖析 LF (將其視為區塊延伸模組的一部分) 的反向 Proxy 結合時攻擊者可特製要求讓 Proxy 將其視為一個要求而 Netty 則視為兩個要求進行處理進而發動要求走私攻擊。 (CVE-2025-58056)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4519 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4519-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 3 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 netty 版本 1:4.1.48-4+deb11u3 CVE ID CVE-2024-29025 CVE-2025-55163 CVE-2025-58056 CVE-2025-58057 CVE-2025-59419 CVE-2025-67735 Debian 錯誤 1068110 1111105 1113994 1118282 1123606


    在 Java NIO 用戶端/伺服器通訊端架構 Netty 中發現數個安全性弱點。據發現Netty 容易遭受 MadeYouReset DDoS 攻擊此攻擊是 HTTP/2 通訊協定本身的邏輯弱點以及會啟用要求走私攻擊的程式設計錯誤。
    此外Netty 中還包含一個 SMTP 命令插入弱點此弱點是因為輸入驗證不足所導致可能允許遠端攻擊者偽造來自受信任伺服器的任意電子郵件。

    此安全性更新也包含 CVE-2024-29025的修正。
    Julien Viet 發現Netty 容易受到無限製或節流的資源配置問題影響這是因為 HttpPostRequestDecoder 中的資料堆積所致。攻擊者可利用此問題造成拒絕服務。

    針對 Debian 11 Bullseye這些問題已在版本 1:4.1.48-4+deb11u3 中修正。

    建議您升級 netty 套件。

    如需有關 netty 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/netty

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Business Intelligence Enterprise Edition (OAS) 8.2.0.0.0 版本受到 2026 年 4 月 CPU 公告中所提及的多個弱點影響。

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件Platform Security (Eclipse))。受影響的支援版本是 7.6.0.0.0 和 8.2.0.0.0。易於惡意利用的弱點允許低權限攻擊者登入 Oracle Business Intelligence Enterprise Edition 執行所在的基礎結構以入侵 Oracle Business Intelligence Enterprise Edition。若成功攻擊此弱點，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Business Intelligence Enterprise Edition 可存取資料。(CVE-2021-28168)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件Platform Security (Mchange Commons Java))。受影響的支援版本是 7.6.0.0.0 和 8.2.0.0.0。此弱點可輕易攻擊成功能夠透過 LDAP 存取網路的未經驗證攻擊者可藉以入侵 Oracle Business Intelligence Enterprise Edition。若成功攻擊此弱點，攻擊者可接管 Oracle Business Intelligence Enterprise Edition。(CVE-2026-27727)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 產品中的弱點 (元件BI Platform Security (OpenSSL))。受影響的支援版本是 8.2.0.0.0。利用此弱點的難度較低，透過 TLS 存取網路的未經驗證的攻擊者可以藉此入侵 Oracle Business Intelligence Enterprise Edition。若要成功攻擊，必須有攻擊者以外之他人的互動。若成功攻擊此弱點，攻擊者可接管 Oracle Business Intelligence Enterprise Edition。(CVE-2025-15467)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機安裝了一個受到 dsa-6160 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6160-1 security@debian.org https://www.debian.org/security/Markus Koschany 2026 年 3 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 netty CVE ID CVE-2025-55163 CVE-2025-58056 CVE-2025-58057 CVE-2025-59419 CVE-2025-67735 CVE-2024-29025 Debian 錯誤 1068110 1111105 1113995 1113994 1118282 1123606

    在 Java NIO 用戶端/伺服器通訊端架構 Netty 中發現數個安全性弱點。據發現Netty 容易遭受 MadeYouReset DDoS 攻擊此攻擊是 HTTP/2 通訊協定本身的邏輯弱點以及會啟用要求走私攻擊的程式設計錯誤。
    此外Netty 中還包含一個 SMTP 命令插入弱點此弱點是因為輸入驗證不足所導致可能允許遠端攻擊者偽造來自受信任伺服器的任意電子郵件。

    book蠕蟲的安全性更新也包含 CVE-2024-29025的修正。
    Julien Viet 發現Netty 容易受到無限製或節流的資源配置問題影響這是因為 HttpPostRequestDecoder 中的資料堆積所致。攻擊者可利用此問題造成拒絕服務。


    針對舊的穩定發行版本 (bookwarm)這些問題已在版本 1:4.1.48-7+deb12u2 中修正。

    針對穩定的發行版本 (trixie)這些問題已在 1:4.1.48-10+deb13u1 版本中修正。

    建議您升級 netty 套件。

    如需有關 netty 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/netty

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Netty 是一種非同步、事件導向的網路應用程式架構。在 4.1.128.Final 和 4.2.7.Final\r之前的版本中Netty 的 SMTP 轉碼器\n含有一個 SMTP 命令插入弱點這是因為在 user-提供的參數。io.netty.handler.codec.smtp.DefaultSmtpRequest 中有一個弱點其可直接將參數串連至 SMTP 命令字串而未進行清理。以包含 CRLF 序列的惡意字串呼叫 SmtpRequests.rcpt(recipient) 等方法時攻擊者可插入任意 SMTP 命令。由於插入的命令是從伺服器的受信任 IP 位址傳送產生的電子郵件可能會通過 SPF 和 DKIM 驗證檢查使其看似合法。這會讓可控制 SMTP 命令參數 (例如電子郵件收件者) 的遠端攻擊者偽造來自受信任伺服器的任意電子郵件進而可能模擬執行人員並偽造高風險的公司通訊。此問題已在 4.1.129.Final 和 4.2.8.Final 版中修補。目前尚無已知的因應措施。(CVE-2025-59419)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
272031	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Netty 弱點 (USN-7843-1)	Nessus	Ubuntu Local Security Checks	2025/10/30	2025/10/30	medium
294984	Oracle GoldenGate for Big Data 多個弱點 21.x < 21.21.0.0.0 (2026 年 1 月 CPU)	Nessus	Misc.	2026/1/22	2026/4/30	medium
304553	Debian dla-4519libnetty-java - 安全性更新	Nessus	Debian Local Security Checks	2026/4/1	2026/4/1	high
309964	Oracle Business Intelligence Enterprise Edition (OAS 8.2) (2026 年 4 月 CPU)	Nessus	Misc.	2026/4/23	2026/4/27	high
301895	Debian dsa-6160libnetty-java - 安全性更新	Nessus	Debian Local Security Checks	2026/3/11	2026/3/11	high
271507	Linux Distros 未修補的弱點：CVE-2025-59419	Nessus	Misc.	2025/10/27	2026/4/29	medium

偵測

搜尋 Plugin

medium

medium

high

high

high

medium