远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4621 公告中提及的多个漏洞的影响。

    - -------------------------------------------------------------------------Debian LTS 公告 DLA-4621-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arnaud Rebillout 2026 年 6 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：glibc 版本：2.31-13+deb11u14 CVE ID： CVE-2025-8058 CVE-2025-15281 CVE-2026-0861 CVE-2026-0915 CVE-2026-4046 Debian 缺陷：1109803 1125678 1125748 1126266 1132499

    在 GNU C 库（Debian 使用的 C 标准库实现）中发现多个漏洞。

    CVE-2025-8058

        posix：修复 regcomp 中分配失败后的双重释放

        GNU C 库版本中的 2.42.41 regcomp 函数在之前的某些分配失败时受到双重释放的影响。这可通过 malloc 失败或使用注入随机 malloc 失败的插入 malloc 来实现。双重释放可允许根据 regex 的构建方式进行缓冲区操纵。此问题影响 GNU C 库支持的所有架构和 ABI。

    CVE-2025-15281

        posix：使用 WRDE_REUSE 重置 wordexp_t 字段

        通过 WRDE_REUSE 结合 GNU C 库版本 2.0 到版本 2.42 中的WRDE_APPEND调用 wordexp 可造成接口在 we_wordv 成员中返回未初始化的内存，这在后续调用 wordfree 时可能中止进程。

    CVE-2026-0861

        memalign：恢复对齐溢出检查

        将过大的对齐传递至 GNU C 库版本2.302.42中的 memalign 函数套件（memalign、posix_memalign、aligned_alloc）可能造成整数溢出，从而导致堆损坏。请注意，攻击者必须同时控制 memalign 函数的大小和对齐参数才能利用此漏洞。size 参数必须足够接近以PTRDIFF_MAX，以便与大型对齐参数一起溢出size_t。这会将 memalign 对齐的恶意输入限制在范围 [1<<62+ 1， 1<<63]，而 posix_memalign 和 aligned_alloc 则恰好限制在 1<<63。通常，传递至此类函数的对齐参数为已知的受限数量（例如页面大小、区块大小、结构大小），并且不受攻击者控制，因此在实践中可能不容易遭到利用。应用程序错误可能导致输入对齐过大，例如由于应用程序或其依存库中存在不同的缓冲区溢出或整数溢出，但考虑到典型的对齐源，这仍然是一种不常见的使用模式。

    CVE-2026-0915

        解决：修复 getnetbyaddr 的 NSS DNS 后端

        通过指定网络的库 DNS 后端的配置 nsswitch.conf 调用 getnetbyaddr 或 getnetbyaddr_r 以及针对 GNU C 库版本 2.0 对版本 2.42 中的零值网络的查询，可向配置的 DNS 解析器泄漏堆栈内容。

    CVE-2026-4046

        iconvdata： 在 IBM1390字符 IBM1399 集中使用待定字符状态

        转换来自 OR IBM1399 字符集的输入IBM1390时，断言失败，GNU C 库版本和较早版本2.43中的 iconv（） 函数可能崩溃，这可用于远程导致应用程序崩溃。通过从不需要 和 IBM1390IBM1399 字符集的系统中删除这些漏洞可轻易缓解这些漏洞。

    对于 Debian 11 bullseye，这些问题已在 2.31-13+deb11u14 版本中修复。

    建议您升级 glibc 程序包。

    如需了解 glibc 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/glibc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-4621：glibc-doc - 安全更新

medium Nessus 插件 ID 319637

版本 1.1