Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - go-gh 是一个 Go 模块，用于从命令行与“gh”实用工具和 GitHub API 进行交互。在 `go-gh` 中发现一个安全漏洞，在代码空间中时，可将本应用于 GitHub 主机的认证标记泄露给非 GitHub 主机。 “go-gh”从不同的环境变量获取身份验证令牌，具体取决于涉及的主机：1. GitHub.com 和 ghe.com 的“GITHUB_TOKEN”、“GH_TOKEN”，以及 GitHub Enterprise Server 的“GITHUB_ENTERPRISE_TOKEN”、“GH_ENTERPRISE_TOKEN”。在版本“2.11.1”之前，“auth.TokenForHost”可在 codespace 中从 GitHub.com 或 ghe.com 以外的主机的“GITHUB_TOKEN”环境变量中获取标记。在版本“2.11.1”中，“auth.TokenForHost”将仅从 GitHub.com 或 ghe.com 主机的“GITHUB_TOKEN”环境变量中获取标记。成功利用此漏洞，可将认证令牌发送至非预期主机。此问题已在 2.11.1 版本中解决，建议所有用户升级。还建议用户重新生成认证标记，并查看其个人安全日志和任何相关审核日志，以了解与其帐户或企业相关的操作。 (CVE-2024-53859)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞: CVE-2024-53859

high Nessus 插件 ID 232167

版本 1.12