Debian dla-4525libyaml-syck-perl - 安全性更新

critical Nessus Plugin ID 307673

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機安裝了一個受到 dla-4525 公告中提及的多個弱點影響的套件。

- ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4525-1 [email protected] https://www.debian.org/lts/security/Andrej Shadura 2026 年 4 月 9 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

套件 libyaml-syck-perl 版本 1.34-1+deb11u1 CVE ID CVE-2025-11683 CVE-2026-4177

簡介

CVE-2025-11683

token.c 中缺少 NULL 結束字元會導致邊界邊界讀取 (but-of-bounds read)進而允許讀取相鄰變數。具有所有金鑰雜湊和空白值的複雜 YAML 檔案會出現此問題。

CVE-2026-4177

YAML 發射器中存在數個安全性弱點包括高嚴重性堆積緩衝區溢位。類別名稱超過初始 512 位元組配置時會發生堆積溢位。base64 解碼器的讀取可超出結尾新行的緩衝區結尾。 strtok 突變了 n->type_id進而損毀共用節點資料。節點已有錨點時syck_hdlr_add_anchor 中會發生記憶體洩漏。傳入的錨點字串「a」在提早傳回時洩漏。

針對 Debian 11 Bullseye這些問題已在 1.34-1+deb11u1 版本中修正。

建議您升級 libyaml-syck-perl 套件。

如需 libyaml-syck-perl 的詳細安全性狀態請參閱其安全性追踪頁面
https://security-tracker.debian.org/tracker/libyaml-syck-perl

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。