远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4831 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4831-1 Quigley 2026 https://www.debian.org/lts/security/Simon 年 10 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libgit2 版本：+ 1.5.1ds-1+deb12u2 CVE ID： CVE-2026-5917 CVE-2026-53584 CVE-2026-53585 CVE-2026-53586 Debian 缺陷：1144465

    低级 Git 库 libgit2 中发现多个安全问题，可能会造成 SSH 服务器上的路径遍历、拒绝服务、凭据泄露或执行任意命令。

    CVE-2026-5917

        在通过 SSH 发送到服务器的命令中，存储库路径未转义地放在单引号内，因此包含单引号的路径可在 SSH 服务器上执行任意命令。
        路径现已转义。

    CVE-2026-53584

        从 .gitmodules 读取的子模块路径未经过检查是否有 ..，因此恶意存储库可使子模块查找、添加、初始化或更新在工作树之外运行。此类路径现在将被拒绝。

    CVE-2026-53585

        Delta 应用程序会分配 delta 标头声明的任何结果大小，因此小型恶意 packfile 可强制分配大型内存，从而导致拒绝服务。现在默认情况下，delta 应用程序产生的对象限制为 2 GiB;可通过 GIT_OPT_SET_PACK_MAX_OBJECT_SIZE 更改该限制。

    CVE-2026-53586

        在初始 HTTP 请求的异地重定向之后，凭据回调仍会获得原始 URL，因此凭据帮助程序可将原始主机的凭据传递给重定向目标。现在回调会接收实际正在联系的主机。

    对于 Debian 12 bookworm，这些问题已在 +ds-1+deb12u2 版本 1.5.1中修复。

    我们建议您升级 libgit2 程序包。

    如需了解 libgit2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libgit2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-4831：libgit2-1.5 - 安全更新

high Nessus 插件 ID 370004

版本 1.1