Linux Distros 未修补的漏洞：CVE-2025-68156
high Nessus 插件 ID 278966
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Expr 是一种适用于 Go 的表达式语言和表达式求值。在低于版本 1.17.7的情况下Expr 中的多个内置函数包括“flatten”、“min”、“max”、“mean”和“median”对用户提供的数据结构执行递归遍历而不强制实施最大递归深度。如果评估环境包含深度嵌套或循环数据结构这些函数可能会无限递归直到超过 Go 运行时堆栈限制。这会导致堆栈溢出错误从而造成主机应用程序崩溃。虽然可利用性取决于攻击者是否可以影响或向评估环境注入循环或病态的深层数据但此行为代表拒绝服务 (DoS) 风险并影响库的整体稳定性。进程可能意外终止，而不是返回可恢复的评估错误。在受影响的版本中对在不受信任或验证不充分的数据结构上调用特定内置函数的表达式求值会因堆栈耗尽而导致进程级崩溃。在 Expr 用于针对外部提供或动态构建的环境求值表达式的场景中此问题最为相关。可将循环引用直接或间接引入数组、映射或结构中也没有任何应用程序级别的保障措施可以防止深度嵌套的输入数据。在具有受控非循环数据的典型使用案例中，此问题可能不明显。然而当存在时产生的错误可被用于可靠地使应用程序崩溃从而构成拒绝服务。此问题已在 Expr 的 v1.17.7 版本中修复。该修补程序为受影响的内置函数引入了最大递归深度限制。
当超过此限制时评估将正常中止并返回描述性错误而不是错误。此外用户可通过 builtin.MaxDepth 自定义最大深度从而允许具有合法深度结构的应用程序以受控的方式提高限制。强烈建议用户升级到带有补丁的版本其中包含递归防护和综合测试覆盖范围可防止回归。建议无法立即升级的用户可采取某些缓解措施。确保评估环境中不包含循环引用、在将外部提供的数据结构传递到 Expr 之前对其进行验证或审查和/或通过错误恢复来封装表达式评估以防止整个进程崩溃（作为最后手段的防御措施）。这些变通方案可降低风险但不能完全消除在缺少修补程序的情况下出现的问题。 (CVE-2025-68156)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: High
ID: 278966
文件名: unpatched_CVE_2025_68156.nasl
版本: 1.2
类型: local
代理: unix
系列: Misc.
发布时间: 2025/12/17
最近更新时间: 2025/12/18
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 4.3
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2025-68156
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:opentelemetry-collector, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:debian:debian_linux:golang-github-antonmedv-expr, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2025/12/16
参考资料信息
CVE: CVE-2025-68156