检测

Linux Distros 未修补的漏洞: CVE-2024-28244

medium Nessus 插件 ID 227820

语言：

简介

Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。

描述

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

 - KaTeX 是用于在 Web 上进行 TeX 数学渲染的 JavaScript 库。渲染不受信任的数学表达式的 KaTeX 用户可能会遇到使用“\def”或“\newcommand”的可导致接近无限循环的恶意输入，尽管设置了“maxExpand”以避免循环。KaTeX 支持名为 maxExpand 的选项，此选项旨在防止无限递归宏耗尽所有可用内存和/或触发堆栈溢出错误。遗憾的是，对 Unicode (sub|super)script 字符的支持允许攻击者绕过此限制。每个下标/上标群组实例化了具有其自身宏执行限制的单独 Parser，并未从其父项继承当前的宏执行计数。此问题已在 KaTeX v0.16.10 中修正。 (CVE-2024-28244)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

解决方案

目前尚未有任何已知的解决方案。

插件详情

严重性: Medium

ID: 227820

文件名: unpatched_CVE_2024_28244.nasl

版本: 1.1

类型: local

代理: unix

系列: Misc.

发布时间: 2025/3/5

最近更新时间: 2025/3/5

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:L/Au:S/C:N/I:N/A:C

CVSS 分数来源: CVE-2024-28244

CVSS v3

风险因素: Medium

基本分数: 6.5

时间分数: 5.7

矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched

易利用性: No known exploits are available

漏洞发布日期: 2024/3/24

参考资料信息

CVE: CVE-2024-28244