远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4519 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4519-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 3 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包netty 版本 1:4.1.48-4+deb11u3 CVE ID CVE-2024-29025 CVE-2025-55163 CVE-2025-58056 CVE-2025-58057 CVE-2025-59419 CVE-2025-67735 Debian 缺陷1068110 1111105 1113994 1118282 1123606


    在 Java NIO 客户端/服务器套接字框架 Netty 中发现数个安全漏洞。发现 Netty 容易遭受madeYouReset DDoS 攻击这是 HTTP/2 协议本身中的逻辑漏洞和编程错误可启用请求走私攻击。
    此外Netty 中包含一个因不充分的输入验证而导致的 SMTP 命令注入漏洞可能允许远程攻击者伪造来自受信任服务器的任意电子邮件。

    此安全更新还包含 CVE-2024-29025的修复。
    Julien Viet 发现由于 HttpPostRequestDecoder 中的数据累积Netty 容易受到无限制或节流的资源分配漏洞的攻击。这会允许攻击者造成拒绝服务。

    对于 Debian 11 Bullseye这些问题已在版本 1:4.1.48-4+deb11u3 中修复。

    建议您升级 netty 程序包。

    如需了解 netty 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/netty

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 2026 年 4 月 CPU 公告所述远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 8.2.0.0.0 版本受到多个漏洞的影响。

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞组件Platform Security (Eclipseers)。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。可轻松利用的漏洞允许低权限攻击者登录 Oracle Business Intelligence Enterprise Edition 执行的基础架构从而破坏 Oracle Business Intelligence Enterprise Edition。若成功攻击此漏洞，攻击者可在未经授权的情况下访问关键数据，或完整访问所有 Oracle Business Intelligence Enterprise Edition 可访问数据。(CVE-2021-28168)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞组件Platform Security (Mchange Commons Java)。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 LDAP 进行网络访问从而破坏 Oracle Business Intelligence Enterprise Edition。成功攻击此漏洞可导致接管 Oracle Business Intelligence Enterprise Edition。(CVE-2026-27727)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞组件BI Platform Security (OpenSSL)。支持的版本中受影响的是 8.2.0.0.0。利用漏洞此漏洞的难度较低，通过 TLS 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致接管 Oracle Business Intelligence Enterprise Edition。(CVE-2025-15467)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 主机安装有受 USN-7843-1 公告中漏洞影响的程序包。

    发现 Netty 未正确处理用户输入。远程攻击者可能会利用此问题从受信任的服务器伪造任意电子邮件。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

根据自我报告的版本号，位于远程主机上的 Oracle GoldenGate for Big Data 应用程序受到多个漏洞影响：

  - JDBC Driver for SQL Server 中不当的输入验证允许未经授权的攻击者通过网络执行欺骗。
    (CVE-2025-59250)

  - Apache Commons IO 中不受控制的资源消耗漏洞。org.apache.commons.io.input.XmlStreamReader 类可能在处理恶意特制输入时过度消耗 CPU 资源。(CVE-2024-47554)

  - Netty 是一种异步事件驱动的网络应用程序框架，用于开发可维护的高性能协议服务器和客户端。在 4.1.124.Final 和 4.2.0.Alpha3 至 4.2.4.Final 中Netty 错误地接受独立的换行符 (LF) 作为区块大小行终止符而不考虑前面的回车符 (CR)从而代替需要按照 HTTP/1.1 标准进行 CRLF。结合以不同方式解析 LF将其视为区块扩展的一部分的反向代理时攻击者可构建请求被代理视为一个请求但 Netty 处理为两个请求从而启用请求走私攻击。 (CVE-2025-58056)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是一个异步、事件驱动的网络应用程序框架。在 4.1.128.Final 和 4.2.7.Final 之前的版本中Netty 中的 SMTP 编解码器包含 SMTP 命令注入漏洞这是因为对用户名中的回车 (\r) 和换行 (\n) 字符的输入验证不足导致提供的参数。io.netty.handler.codec.smtp.DefaultSmtpRequest 中存在漏洞此处的参数未经审查即直接连接至 SMTP 命令字符串中。当使用包含 CRLF 序列的恶意字符串调用如 SmtpRequests.rcpt(recipient) 时攻击者可注入任意 SMTP 命令。由于注入的命令是从服务器的受信任 IP 地址发送的因此生成的电子邮件可能会通过 SPF 和 DKIM 身份验证检查从而看起来合法。这使得能够控制 SMTP 命令参数例如电子邮件收件人的远程攻击者能够从受信任的服务器伪造任意电子邮件从而可能冒充管理人员并伪造高风险公司通信。已在版本 4.1.129.Final 和 4.2.8.Final 中修复此问题。尚无已知的变通方案。(CVE-2025-59419)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6160 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6160-1 security@debian.org https://www.debian.org/security/Markus Koschany 2026 年 3 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包netty CVE ID CVE-2025-55163 CVE-2025-58056 CVE-2025-58057 CVE-2025-59419 CVE-2025-67735 CVE-2024-29025 Debian 缺陷1068110 1111105 1113995 1113994 1118282 1123606

    在 Java NIO 客户端/服务器套接字框架 Netty 中发现数个安全漏洞。发现 Netty 容易遭受madeYouReset DDoS 攻击这是 HTTP/2 协议本身中的逻辑漏洞和编程错误可启用请求走私攻击。
    此外Netty 中包含一个因不充分的输入验证而导致的 SMTP 命令注入漏洞可能允许远程攻击者伪造来自受信任服务器的任意电子邮件。

    bookbird 的安全更新也包含针对 CVE-2024-29025的补丁。
    Julien Viet 发现由于 HttpPostRequestDecoder 中的数据累积Netty 容易受到无限制或节流的资源分配漏洞的攻击。这会允许攻击者造成拒绝服务。


    对于旧稳定发行版本 (bookbird)这些问题已在版本 1:4.1.48-7+deb12u2 中修复。

    对于稳定发行版本 (trixie)已在版本 1:4.1.48-10+deb13u1 中修复这些问题。

    建议您升级 netty 程序包。

    如需了解 netty 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/netty

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
304553	Debian dla-4519libnetty-java - 安全更新	Nessus	Debian Local Security Checks	2026/4/1	2026/4/1	high
309964	Oracle Business Intelligence Enterprise EditionOAS 8.22026 年 4 月 CPU	Nessus	Misc.	2026/4/23	2026/4/27	high
272031	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Netty 漏洞 (USN-7843-1)	Nessus	Ubuntu Local Security Checks	2025/10/30	2025/10/30	medium
294984	Oracle GoldenGate for Big Data 多种漏洞 21.x < 21.21.0.0.0 2026 年 1 月 CPU	Nessus	Misc.	2026/1/22	2026/4/30	medium
271507	Linux Distros 未修补的漏洞：CVE-2025-59419	Nessus	Misc.	2025/10/27	2026/4/29	medium
301895	Debian dsa-6160libnetty-java - 安全更新	Nessus	Debian Local Security Checks	2026/3/11	2026/3/11	high

检测

插件搜索

high

high

medium

medium

medium

high