远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6575 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6575-1 security@debian.org Moj 2026 https://www.debian.org/security/Jan 年 10 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nginx CVE ID： CVE-2026-15176 CVE-2026-93479 CVE-2026-95101 CVE-2026-97205 CVE-2026-97629

    在高性能 web 和反向代理服务器 nginx 中发现多个漏洞。根据配置，这些漏洞可能会导致内存损坏、拒绝服务、将请求注入到后端服务器或绕过客户端证书认证。

    CVE-2026-15176

        使用 alias 指令将重写的请求 URI 映射到某个位置中的文件系统路径可导致缓冲区溢出。

    CVE-2026-93479

        评估 HTTP 和 stream 模块中的字符串表达式可覆盖预留的缓冲区空间，从而导致缓冲区溢出。
        受影响的操作包括评估变量文档根和访问日志路径。

        受影响的代码由之前的安全向后移植引入 trixie 程序包中。

    CVE-2026-95101

        错误处理拆分的未知 HTTP/3 帧可导致其内容被视为请求正文数据。对请求进行代理时，这可允许将请求注入后端服务器或绕过请求正文大小限制。

    CVE-2026-97205

        跟踪待定异步操作的计数器可能溢出，从而导致请求内存在仍然使用时被释放。此释放后使用可导致内存损坏或拒绝服务。

    CVE-2026-97629

        工作进程之间 TLS 会话票证密钥的不完全同步可导致工作线程使用未初始化的密钥材料。这可允许伪造的 TLS 会话以及客户端证书身份验证绕过。

    对于稳定发行版本 （trixie），已在版本 1.26.3-3+deb13u10 中修复这些问题。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-6575：libnginx-mod-http-geoip - 安全更新

critical Nessus 插件 ID 370146

版本 1.1