Debian dla-4554 ： calibre - 安全更新

critical Nessus 插件 ID 311182

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程的 Debian 11 主机安装了受多个漏洞影响的包，正如 dla-4554 公告中提到的。

- ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4554-1 [email protected] https://www.debian.org/lts/security/Abhijith PA 2026年4月29日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

包装：calibre 版本： 5.12.0+dfsg-1+deb11u4 CVE ID： CVE-2025-64486 CVE-2026-25635 CVE-2026-25636 CVE-2026-26064 CVE-2026-26065

在 calibre 这台电子书管理器中发现了多个漏洞

CVE-2025-64486

calibre在处理FB2文件中的二进制资产时不验证文件名，这使得攻击者在查看或转换恶意FictionBook文件时可以在文件系统上写入任意文件。这可以用来实现任意代码执行。

CVE-2026-25635

Calibre的CHM读取器存在路径穿越漏洞，允许用户在拥有写权限的任何地方任意写入文件。

CVE-2026-25636

Calibre EPUB 转换中的路径穿越漏洞允许恶意 EPUB 文件破坏 Calibre 进程可写入的任意现有文件

CVE-2026-26064

一种路径穿越漏洞，允许用户在拥有写权限的任何位置任意写入文件。

CVE-2026-26065

通过PDB读卡器进行路径穿越，允许任意文件写入，扩展名和内容任意，只要用户拥有写权限。文件以“白写”模式编写，静默覆盖现有文件。这可能导致代码执行和文件损坏导致拒绝服务。

对于 Debian 11 的 bullseye，这些问题在 +dfsg-1+deb11u4 版本中已被修复 5.12.0。

建议您升级 calibre 程序包。

如需了解 calibre 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/calibre

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。