远程 Debian 12 主机上安装的多个程序包受到 dsa-5881 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5881-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：rails CVE ID：CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133

    在 Rails Web 框架中发现多个安全问题，其可能导致跨站脚本、信息泄露、拒绝服务或绕过内容安全政策。

    对于稳定发行版本 (bookworm)，已在版本 2:6.1.7.10+dfsg-1~deb12u1 中修复这些问题。

    我们建议您升级 rails 程序包。

    如需了解 rails 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rails

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ActiveSupport::EncryptedFile 会写入将加密的内容至临时文件。临时文件的权限默认为用户当前的“umask”设置，这意味着同一系统上的其他用户可以读取该临时文件的内容。有权访问文件系统的攻击者可能在用户编辑此临时文件时读取其内容。运行受影响版本的所有用户应立即升级或使用变通方案之一。
    (CVE-2023-38037)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:2010 公告中提及的多个漏洞的影响。

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    安全修复：
    * python-pygments：pygments 中的 ReDoS (CVE-2022-40896)
    * python-pycryptodomex：PyCryptodome 和 pycryptodomex 中 OAEP 解密的边信道泄漏 (CVE-2023-52323)
    * satellite：satellite 中的算术溢出 (CVE-2023-4320)
    * automation-hub: Ansible Automation Hub：不安全的 galaxy-importer tarfile 提取 (CVE-2023-5189)
    * jetty：向 CgiServlet 中的用户输入添加不正确的引号 (CVE-2023-36479)
    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)
    * rubygem-activesupport：本地加密文件的文件泄露 (CVE-2023-38037)
    * jetty：不当验证 HTTP/1 content-length (CVE-2023-40167)
    * python-django：`django.utils.encoding.uri_to_iri()` 中潜在的拒绝服务漏洞 (CVE-2023-41164)
    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)
    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)
    * python-aiohttp：HTTP 请求修改 (CVE-2023-49081)
    * python-aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)
    * rubygem-puma：解析分块传输编码正文时，HTTP 请求走私 (CVE-2024-21647)
    * rubygem-audited：争用条件可导致审核日志被错误地归因于错误的用户 (CVE-2024-22047)
    * python-jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时发生 HTML 属性注入 (CVE-2024-22195)
    * python-aiohttp：Follow_symlinks 目录遍历漏洞 (CVE-2024-23334)
    * python-aiohttp：HTTP 请求走私 (CVE-2024-23829)

    其他变更：
    此更新还修复了多个缺陷并添加了多项增强功能。

    “参考”部分链接的版本说明文档中提供这些更改的文档。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
232892	Debian DSA-5881：rails - 安全更新	Nessus	Debian Local Security Checks	2025/3/19	2025/3/19	high
232134	Linux Distros 未修补的漏洞: CVE-2023-38037	Nessus	Misc.	2025/3/6	2025/3/6	medium
199805	RHEL 8：Satellite 6.15.0（重要）(RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	2024/6/3	2025/3/6	high

检测

插件搜索

high

medium

high