远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:7085 公告中提及的一个漏洞影响。

    pcs 程序包可为 Pacemaker 和 Corosync 实用工具提供命令行配置系统。

    安全修复：

    * rubygem-rackRack::CommonLogger 中可能的日志注入 (CVE-2025-25184)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    其他变更：

    如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 9 发行说明。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的一个程序包受到 dsa-5886 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5886-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 ：ruby-rack CVE ID：CVE-2025-25184 CVE-2025-27111 CVE-2025-27610

    在 Rack（使用 Ruby 开发 Web 应用程序的接口 ）中发现多个安全问题，这些问题可造成日志注入或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 2.2.13-1~deb12u1 中修复这些问题。

    我们建议您升级 ruby-rack 程序包。

    如需了解 ruby-rack 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2025-7085 公告中提及的漏洞的影响。

    [0.11.9-2]
    - 已修复重新启动捆绑的问题解决 RHEL-79055
    - 修复了删除错误配置的捆绑包 解决 RHEL-79160
    - 已修复 Web 控制台中的资源克隆过滤问题 解决 RHEL-78653
    - 更新了捆绑的 rubygem rack 解决了 RHEL-79500

    [0.11.9-1]
    - 将 pcs 衍合到最新的源 请参阅 CHANGELOG.md。 解决 RHEL-44420
    - 将 pcs-web-ui 更新到 0.1.22

    [0.11.8-2]
    - 将 pcs 衍合到最新的来源 请参阅 CHANGELOG.md

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 主机上安装的多个程序包受到公告 USN-7366-1 中提及的多个漏洞影响。

    Nht Thi 发现，Rack 未正确处理某些用户名。远程攻击者可能利用此问题执行 CRLF 注入。(CVE-2025-25184)

    Phm Quang Minh 发现，Rack 未正确处理某些标头。远程攻击者可能利用此问题执行日志注入。(CVE-2025-27111)

    Phm Quang Minh 发现，Rack 未正确处理相对文件路径。远程攻击者可能利用此问题加入本应不可访问的本地文件。(CVE-2025-27610)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Rack 提供用于在 Ruby 中开发 Web 应用程序的接口。在 2.2.11、 3.0.12和 3.1.10版本之前可通过构建包含换行符的输入来利用 Rack::CommonLogger 来操纵日志条目。提供的概念验证演示了如何将恶意内容注入日志中。
    用户通过 Rack::Auth::Basic 提供授权凭证时如果成功则用户名将被放入 env['REMOTE_USER'] 中稍后 Rack::CommonLogger 会将其用于记录目的。当服务器有意或无意地允许用户创建时包含 CRLF 和空白字符的用户名或当服务器只想记录每次登录尝试时会出现此问题。如果攻击者输入含 CRLF 字符的用户名记录器会将含 CRLF 字符的恶意用户名记录到日志文件中。攻击者可破坏日志格式或插入欺骗性的条目从而可能掩盖真实活动或向日志文件注入恶意数据。版本 2.2.11、 3.0.12和 3.1.10 包含一个补丁。
    (CVE-2025-25184)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4090 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4090-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包: ruby-rack 版本: 2.1.4-3+deb11u3 CVE ID : CVE-2025-25184 CVE-2025-27111 CVE-2025-27610 Debian 缺陷: 1098257 1099546 1100444

    已修复 ruby-rack (用于使用 Ruby 开发 Web 应用程序的界面)中的多个漏洞。

    CVE-2025-25184

        Rack::CommonLogger 中的日志注入漏洞

    CVE-2025-27111

        Rack::Sendfile 中的日志注入漏洞

    CVE-2025-27610

        Rack::Static 中的本地文件包含漏洞

    对于 Debian 11 bullseye，这些问题已在 2.1.4-3+deb11u3 版本中修复。

    我们建议您升级 ruby-rack 程序包。

    如需了解 ruby-rack 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
235810	RHEL 9：pcs (RHSA-2025:7085)	Nessus	Red Hat Local Security Checks	2025/5/13	2025/7/1	high
233339	Debian dsa-5886：ruby-rack - 安全更新	Nessus	Debian Local Security Checks	2025/3/25	2025/6/6	medium
237058	Oracle Linux 9：pcs (ELSA-2025-7085)	Nessus	Oracle Linux Local Security Checks	2025/5/22	2025/5/22	high
233300	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : Rack 漏洞 (USN-7366-1)	Nessus	Ubuntu Local Security Checks	2025/3/24	2025/6/6	medium
230824	Linux Distros 未修补的漏洞：CVE-2025-25184	Nessus	Misc.	2025/3/6	2025/8/7	medium
233303	Debian dla-4090 : ruby-rack - 安全更新	Nessus	Debian Local Security Checks	2025/3/24	2025/6/6	medium

检测

插件搜索

high

medium

high

medium

medium

medium