因此，會受到 ALAS2023-2025-834 公告中所提及的多個弱點影響。

    2025-02-11：已將 CVE-2024-45338 新增至此公告。

    2025-02-11：已將 CVE-2024-51744 新增至此公告。

    誤用 ServerConfig.PublicKeyCallback 回呼的應用程式和程式庫可能容易受到授權繞過影響。ServerConfig.PublicKeyCallback 的說明文件指出，對此函式的呼叫並不保證所提供的金鑰確實用於驗證。具體而言，SSH 通訊協定允許用戶端在證明對應私密金鑰的控制權之前，查詢是否可接受公開金鑰。PublicKeyCallback 受到呼叫時可能接收到多組金鑰，然而其提供順序無法用於推斷用戶端最終成功驗證的公鑰為何 (若有)。
    部分應用程式會儲存傳遞至 PublicKeyCallback 的金鑰 (或其衍生資訊)，並在連線建立後據此做出安全性相關決策，因此可能會做出錯誤的假設。例如，攻擊者可能傳送公開金鑰 A 和 B，然後使用 A 進行驗證。
    PublicKeyCallback 只會被呼叫兩次，依序使用 A 和 B。接著易受攻擊的應用程式可能會根據金鑰 B 做出授權決策，即使攻擊者實際上無法控制其私密金鑰。由於此 API 遭到廣泛誤用，因此 golang.org/x/cry...@v0.31.0 強制套用下列屬性作為局部緩解措施: 一旦透過公開金鑰成功驗證，則以最後一組傳遞給 ServerConfig.PublicKeyCallback 的公開金鑰為實際驗證連線的金鑰。現在會視需要以相同的金鑰多次呼叫 PublicKeyCallback。請注意，如果連線隨後使用不同的方法 (例如 PasswordCallback、KeyboardInteractiveCallback 或 NoClientAuth) 進行驗證，則用戶端可能仍然無法控制傳遞至 PublicKeyCallback 的最後一組金鑰。使用者應透過各種驗證回呼所傳回的「權限」值之「延伸模組」欄位，記錄與驗證嘗試相關的資料，而非參照外部狀態。建立連線後，即可透過 ServerConn.Permissions 欄位檢索與成功驗證嘗試相應的狀態資訊。請注意，某些第三方程式庫會在多次驗證嘗試中重複使用權限類型。有鑑於此類誤用，這些第三方程式庫的使用者應參閱相關專案以學習其正確用法。(CVE-2024-45337)

    攻擊者可特製 Parse 函式的輸入，而該輸入的長度會遭到非線形處理，進而導致剖析速度極慢。如此可能造成拒絕服務的狀況。(CVE-2024-45338)

    golang-jwt 是 JSON Web Token 的 Go 實作。`ParseWithClaims` 中錯誤行為的不清楚的文件記錄可導致使用者無法以應有的方式檢查錯誤的情況。尤其如果權杖已過期且無效，則 `ParseWithClaims` 傳回的錯誤會傳回兩個錯誤碼。如果使用者只使用 `error.Is` 檢查 `jwt.ErrTokenExpired `，他們將忽略內嵌的 `jwt.ErrTokenSignatureInvalid`，因此可能接受無效的 token。已使用錯誤處理邏輯將一個修正從 `v5` 分支反向移植到 `v4` 分支。在此邏輯中，`ParseWithClaims` 函式會在危險情況下 (例如，無效的簽章) 立即傳回，將合併的錯誤限制為僅在簽章有效但進一步驗證失敗的情況下 (例如，如果簽章有效，但已過期且具有錯誤的接受者)。此修正是 4.5.1 版本的一部分。我們知道這會變更已建立函式的行為，且並非 100 % 回溯相容，因此更新至 4.5.1 可能會損毀您的程式碼。如果您無法更新至 4.5.0，請確認您正在正確檢查所有錯誤 (先檢查危險錯誤)，以免發生上述情況。 (CVE-2024-51744)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023：runfinch-finch (ALAS2023-2025-834)

critical Nessus Plugin ID 215029

版本 1.4