Debian dla-4056：golang-glog-dev - 安全更新

high Nessus 插件 ID 216383

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

远程 Debian 11 主机上安装的一个程序包受到 dla-4056 公告中提及的一个漏洞影响。

- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4056-1 [email protected] https://www.debian.org/lts/security/Andrej Shadura 2025 年 2 月 17 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

程序包：golang-glog 版本：0.0~git20160126.23def4e-3+deb11u1 CVE ID：CVE-2024-45339

在 Go 的 glog 程序包中发现以下漏洞：

将日志写入可广泛写入的目录（默认）时，非特权攻击者可能会预测特权进程的日志文件路径，并在其位置预先创建指向敏感文件的符号链接。该特权进程运行时会遵循植入的符号链接并覆盖该敏感文件。为修复该问题，glog 现在会在发现存在已配置的日志文件时使程序退出（返回状态代码 2）。

对于 Debian 11 bullseye，已在 0.0~git20160126.23def4e-3+deb11u1 版本中修复此问题。

已重新构建以下 Go 程序包以修复此问题：

docker.io 20.10.5+dfsg1-1+deb11u4 golang-grpc-gateway 1.6.4-2+deb11u1 mtail 3.0.0~rc43-3+deb11u1 prometheus-mongodb-exporter 1.0.0+git20180522.e755a44-3+deb11u1

我们建议您升级这些程序包。

如需了解 golang-glog 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-glog

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。