遠端 Debian 11 主機上安裝的多個套件受到 dla-4019 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4019-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：busybox 版本：1:1.30.1-6+deb11u1 CVE ID：CVE-2021-28831 CVE-2021-42374 CVE-2021-42378 CVE-2021-42379 CVE-2021-42380 CVE-2021-42381 CVE-2021-42382 CVE-2021-42384 CVE-2021-42385 CVE-2021-42386 CVE-2022-48174 CVE-2023-42364 CVE-2023-42365 Debian 錯誤： 985674 999567 1059049 1059051 1059052

    在 BusyBox (包含多種 Unix 公用程式的輕量型單一執行檔) 中發現多個弱點，攻擊者可透過格式錯誤的 gzip 資料、特製的 LZMA 輸入或特製的 awk 模式，來造成拒絕服務、資訊洩漏或執行任意程式碼。

    CVE-2021-28831

        在 BusyBox 1.32.1 及其之前的所有版本中，decompress_gunzip.c 會錯誤處理 huft_build 結果指針的錯誤位元，因此攻擊者可透過格式錯誤的 gzip 資料造成無效釋放或段錯誤。

    CVE-2021-42374

        解壓縮特製的 LZMA 壓縮輸入時，Busybox 的 unlzma 小程式中的超出邊界堆積讀取會導致資訊洩漏和程式拒絕服務。此弱點可以由符合以下條件的任何小程式/格式觸發 

    CVE-2021-42378

        在 getvar_i 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42379

        在 next_input_file 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42380

        在 clrvar 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42381

        在 hash_init 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42382

        在 getvar_s 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42384

        在 handle_special 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42385

        在 evaluate  函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2021-42386

        在 nvalloc 函式中處理特製的 awk 模式時，Busybox 的 awk 小程式中的釋放後使用弱點可導致程式拒絕服務並可能執行程式碼

    CVE-2022-48174

        busybox 1.35 之前版本的 ash.c:6030 中包含堆疊溢位弱點。在車聯網環境中，可透過任意程式碼執行命令利用此弱點。

    CVE-2023-42364

        BusyBox v.1.36.1 中的釋放後使用弱點允許攻擊者透過 awk.c evaluate 函式中特製的 awk 模式來造成拒絕服務。

    CVE-2023-42365

        在 BusyBox v.1.36.1 中，透過 awk.c copyvar 函式中特製的 awk 模式可觸發釋放後使用弱點。

    針對 Debian 11 bullseye，已在 1:1.30.1-6+deb11u1 版本中修正這些問題。

    建議您升級 busybox 套件。

    如需有關 busybox 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/busybox

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4019：busybox - 安全性更新

critical Nessus Plugin ID 214387

版本 1.1