遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4513 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4513-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 3 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 gvfs 版本 1.46.2-2+deb11u1 CVE ID CVE-2026-28295 CVE-2026-28296 Debian 錯誤 1129285 1129286

    Codean Labs 發現虛擬檔案系統實作 gvfs 受到多個弱點影響包括可導致探查用戶端網路上開放連接埠的 FTP 彈回攻擊以及可讓攻擊者插入任意 FTP 命令的不當 CRLF 驗證。

    CVE-2026-28295

        惡意 FTP 伺服器可在其被動模式 (PASV) 回應中提供任意 IP 位址和連接埠藉此惡意利用此弱點。用戶端會無條件信任此資訊並嘗試連線至指定的端點進而允許惡意伺服器探測可從用戶端網路存取的開放連接埠。

    CVE-2026-28296

        遠端攻擊者可藉由提供包含歸位與換行 (CRLF) 序列的特製檔案路徑惡意利用此輸入驗證弱點。這些未清理的序列可讓攻擊者終止預定的 FTP 命令並插入任意 FTP 命令進而可能導致任意程式碼執行或其他嚴重影響。

    針對 Debian 11 Bullseye這些問題已在 1.46.2-2+deb11u1 版本中修正。

    建議您升級 gvfs 套件。

    如需 gvfs 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/gvfs

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 gvfs 版本比 1.48.1 / 1.58.2舊。因此會受到 SSA:2026-059-01 公告中提及的多個弱點影響。

    現已提供適用於 Slackware 15.0 和最新版本的新 gvfs 套件可修正多個安全性問題。

Tenable 已直接從 gvfs 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 FTP GVfs 後端中發現一個瑕疵。遠端攻擊者可藉由提供包含歸位與換行 (CRLF) 序列的特製檔案路徑惡意利用此輸入驗證弱點。這些未清理的序列可讓攻擊者終止預定的 FTP 命令並插入任意 FTP 命令進而可能導致任意程式碼執行或其他嚴重影響。
    (CVE-2026-28296)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 gvfs 版本比 1.36.2-3舊。因此，會受到 ALAS2-2026-3197 公告中所提及的多個弱點影響。

    在 FTP GVfs 後端中發現一個瑕疵。惡意 FTP 伺服器可在其被動模式 (PASV) 回應中提供任意 IP 位址和連接埠藉此惡意利用此弱點。用戶端會無條件信任此資訊並嘗試連線至指定的端點進而允許惡意伺服器探測可從用戶端網路存取的開放連接埠。 (CVE-2026-28295)

    在 FTP GVfs 後端中發現一個瑕疵。遠端攻擊者可藉由提供包含歸位與換行 (CRLF) 序列的特製檔案路徑惡意利用此輸入驗證弱點。這些未清理的序列可讓攻擊者終止預定的 FTP 命令並插入任意 FTP 命令進而可能導致任意程式碼執行或其他嚴重影響。
    (CVE-2026-28296)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.10 主機上安裝的套件受到 USN-8114-1 公告中所提及的多個弱點影響。

    據發現GVfs FTP 後端未正確處理被動模式回應傳回的 IP 位址和連接埠。惡意遠端伺服器可能會利用此問題來協助掃描開放連接埠。
    (CVE-2026-28295)

    據發現GVfs FTP 後端未正確處理特製的檔案路徑。遠端攻擊者可利用此問題終止或插入任意 FTP 命令或可能執行任意程式碼。
    (CVE-2026-28296)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1475 公告中所提及的多個弱點影響。

    在 FTP GVfs 後端中發現一個瑕疵。惡意 FTP 伺服器可在其被動模式 (PASV) 回應中提供任意 IP 位址和連接埠藉此惡意利用此弱點。用戶端會無條件信任此資訊並嘗試連線至指定的端點進而允許惡意伺服器探測可從用戶端網路存取的開放連接埠。 (CVE-2026-28295)

    在 FTP GVfs 後端中發現一個瑕疵。遠端攻擊者可藉由提供包含歸位與換行 (CRLF) 序列的特製檔案路徑惡意利用此輸入驗證弱點。這些未清理的序列可讓攻擊者終止預定的 FTP 命令並插入任意 FTP 命令進而可能導致任意程式碼執行或其他嚴重影響。
    (CVE-2026-28296)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
304178	Debian dla-4513gvfs - 安全性更新	Nessus	Debian Local Security Checks	2026/3/28	2026/3/30	medium
300551	Slackware Linux 15.0 / current gvfs 多個弱點 (SSA2026-059-01)	Nessus	Slackware Local Security Checks	2026/3/4	2026/3/4	medium
300279	Linux Distros 未修補的弱點：CVE-2026-28296	Nessus	Misc.	2026/3/2	2026/3/31	medium
303102	Amazon Linux 2gvfs --advisory ALAS2-2026-3197 (ALAS-2026-3197)	Nessus	Amazon Linux Local Security Checks	2026/3/19	2026/3/20	medium
303748	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 GVfs 弱點 (USN-8114-1)	Nessus	Ubuntu Local Security Checks	2026/3/25	2026/3/27	medium
304271	Amazon Linux 2023gvfs、gvfs-archive、gvfs-client (ALAS2023-2026-1475)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium