远程 Debian 11 主机上安装有一个安装的程序包该程序包受到 dla-4160 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4160-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2025 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libbson-xs-perl 版本 0.8.4-1+deb11u1 CVE ID CVE-2017-14227 CVE-2018-16790 CVE-2023-0437 CVE-2024-6381 CVE-2024-6383 CVE-2025-0755

    在 MongoDB BSON 序列化的 Perl XS 实现 libbson-xs-perl 中发现数个漏洞。

    CVE-2017-14227

        bson-iter.c 中的 bson_iter_codewscope 函数误算 bson_utf8_validate 长度参数其允许远程攻击者造成拒绝服务bson-utf8.c 的 bson_utf8_validate 函数中基于堆的缓冲区过度读取bson- 即为一例。 to-json.c。

    CVE-2018-16790

        _bson_iter_next_internal 存在通过特制的 bson 缓冲区造成的基于堆的缓冲区过度读取。

    CVE-2023-0437

        在某些输入上调用 bson_utf8_validate 时可能发生含有无法达到的退出条件的循环即无限循环。

    CVE-2024-6381

        MongoDB C 驱动程序库中的 bson_strfreev 函数可能容易受到整数溢出该函数将尝试释放负偏移处的内存影响。这可能导致内存损坏。

    CVE-2024-6383

        MongoDB C Driver 中的 bson_string_append 函数可能容易受到缓冲区溢出的影响该函数可能会尝试分配过小的缓冲区并可能导致邻近堆内存的内存损坏。

    CVE-2025-0755

        执行可导致最终 BSON 文档超过最大允许大小 (INT32_MAX) 的操作时MongoDB C 驱动程序库中的各种 bson_append 函数可能容易受到缓冲区溢出的影响从而导致分段错误并可能导致应用程序崩溃。

    对于 Debian 11 Bullseye已在版本 0.8.4-1+deb11u1 中修复这些问题。

    建议您升级 libbson-xs-perl 程序包。

    有关 libbson-xs-perl 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libbson-xs-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4160libbson-xs-perl - 安全更新

high Nessus 插件 ID 235667

版本 1.1