远程 Debian 11 主机上安装的多个程序包受到 dla-4031 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4031-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 1 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：git 版本：1:2.30.2-1+deb11u4 CVE ID：CVE-2024-50349 CVE-2024-52006 Debian 缺陷：1093042

    在快速且可扩展的分布式版本控制系统 git 中发现多个漏洞。

    CVE-2024-50349

        当 Git 通过终端提示要求凭据时（即不使用任何凭据帮助程序），它会打印应由用户提供用户名和/或密码的主机名。在此阶段，任何 URL 编码部分都已解码，并且会被逐字打印。攻击者可以特制内含 ANSI 转义序列的 URL，终端会解释这些序列以诱骗用户提供受信任的 Git 托管站点的密码等，而实际上这些信息会被发送到受攻击者控制的不受信任的站点。

    CVE-2024-52006

        Git 定义了基于行的协议，用于在 Git 和 Git 凭据帮助程序之间交换信息。有些生态系统（尤其是 .NET 和 node.js）会将单个回车符字符解释为换行符，这使得以这种方式处理回车符的凭据帮助程序针对 CVE-2020-5260 的保护不完整。

    对于 Debian 11 bullseye，这些问题已在 1:2.30.2-1+deb11u4 版本中修复。

    建议您升级 git 程序包。

    如需了解 git 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/git

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4031：git - 安全更新

low Nessus 插件 ID 214705

版本 1.2