据发现，使用特别构建的输入时，Mono 的字符串至双重解析器可能会崩溃。这可导致任意代码执行。CVE-2018-1002208：Mono 嵌入的 sharplibzip 库存在目录遍历漏洞，可让攻击者通过在 Zip 存档项中的 ../（点、点、斜杠），造成提取时未正确处理，从而写入任意文件。此漏洞亦称作 ‘Zip-Slip’。Mono 开发人员计划从源文件中完全删除 sharplibzip，且没有计划修复此问题。因此建议使用 nuget 程序包管理软件代替获取最新的 sharplibzip 版本。嵌入式版本不应使用不受信任的 zip 文件。对于 Debian 8“Jessie”，这一问题已在 3.2.8+dfsg-10+deb8u1 版本中修复。建议您升级 mono 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1564-1：mono 安全更新

medium Nessus 插件 ID 118597

未找到变更日志