远程桌面网关 Apache Guacamole 的服务器组件未正确验证从 RDP 服务器接收的数据。这可能导致信息泄露，甚至任意代码执行。

CVE-2020-9497

Apache Guacamole 未正确验证经由静态虚拟通道从 RDP 服务器接收的数据。如果用户连接到恶意或已损坏的 RDP 服务器，特别构建的 PDU 可在处理连接的危急进程的内存中导致信息泄露。

CVE-2020-9498

Apache Guacamole 可能未正确处理经由 RDP 静态虚拟通道接收的涉及数据处理的指针。如果用户连接到恶意或已损坏的 RDP 服务器，一系列特别构建的 PDU 可导致内存损坏，从而可能允许以运行的 guacd 进程的权限执行任意代码。

针对 Debian 9 stretch，这些问题已在 0.9.9-2+deb9u1 版本中修复。

我们建议您升级 guacamole-server 程序包。

如需了解 guacamole-server 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/guacamole-server

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2435-1：guacamole-server 安全更新

medium Nessus 插件 ID 142632

未找到变更日志