远程 Debian 10 主机上安装的程序包受到 dla-3516 公告中提及的多个漏洞影响。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特制的 JSON 文件时，整个 ruby 进程会发生崩溃，并且 yajl_encode.c 的 yajl_string_decode 函数会发出 SIGABRT 信号。这会导致整个 ruby 进程终止并可能拒绝服务。(CVE-2017-16516)

  - yajl-ruby 是 YAJL JSON 解析和生成库的 C 绑定。`yajl` 的 1.x 分支和 2.x 分支包含一个整数溢出，可在处理大型 (~2GB) 输入时导致后续堆内存损坏。当 `need` 值接近 0x80000000（即约 2GB 的数据）时，`yajl_buf.c#L64` 的重新分配逻辑可能会导致 `need` 32 位整数封装为 0，从而导致导致 buf->alloc 重新分配到一个小堆块中。这些整数在 `yajl` 的 2.x 分支中声明为 `size_t`，这实际上阻止了在 64 位平台上触发此问题，但仍可能在 `size_t` 为 32 位整数的 32 位版本上触发此问题。此分配不足的堆块的后续填充基于原始缓冲区大小，从而导致堆内存损坏。此漏洞主要影响进程可用性。维护者认为利用任意代码执行的可能性不大。补丁可用，预计将成为 yajl-ruby 1.4.2 版本的一部分。变通方案是避免向 YAJL 传递大量输入。(CVE-2022-24795)

  - 使用 yajl_tree_parse 函数的 yajl 2.1.0 中存在内存泄漏，会造成服务器内存不足并导致崩溃。(CVE-2023-33460)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-6233-1 公告中提及的多个漏洞影响。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特制的 JSON 文件时，整个 ruby 进程会发生崩溃，并且 yajl_encode.c 的 yajl_string_decode 函数会发出 SIGABRT 信号。这会导致整个 ruby 进程终止并可能拒绝服务。(CVE-2017-16516)

  - yajl-ruby 是 YAJL JSON 解析和生成库的 C 绑定。`yajl` 的 1.x 分支和 2.x 分支包含一个整数溢出，可在处理大型 (~2GB) 输入时导致后续堆内存损坏。当 `need` 值接近 0x80000000（即约 2GB 的数据）时，`yajl_buf.c#L64` 的重新分配逻辑可能会导致 `need` 32 位整数封装为 0，从而导致导致 buf->alloc 重新分配到一个小堆块中。这些整数在 `yajl` 的 2.x 分支中声明为 `size_t`，这实际上阻止了在 64 位平台上触发此问题，但仍可能在 `size_t` 为 32 位整数的 32 位版本上触发此问题。此分配不足的堆块的后续填充基于原始缓冲区大小，从而导致堆内存损坏。此漏洞主要影响进程可用性。维护者认为利用任意代码执行的可能性不大。补丁可用，预计将成为 yajl-ruby 1.4.2 版本的一部分。变通方案是避免向 YAJL 传递大量输入。(CVE-2022-24795)

  - 使用 yajl_tree_parse 函数的 yajl 2.1.0 中存在内存泄漏，会造成服务器内存不足并导致崩溃。(CVE-2023-33460)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 23.04 主机上安装的程序包受到 USN-6233-2 公告中提及的多个漏洞的影响。

    USN-6233-1 修复了 YAJL 中的漏洞。此更新提供针对 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.04 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，当将特制的 JSON 文件提供给 Yajl::Parser.new.parse 时，整个 ruby 进程会崩溃，并在 yajl_encode.c 的 yajl_string_decode 函数中出现 SIGABRT。这会导致整个 ruby 进程终止并可能拒绝服务。(CVE-2017-16516)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在基于 JSON 流的解析器库 Yajl 的接口 ruby-yajl 中发现一个漏洞。将特制的 JSON 文件提供给 Yajl::Parser.new.parse 时，整个 ruby 进程会因 yajl_encode.c 的 yajl_string_decode 函数中的 SIGABRT 而崩溃。此问题可导致拒绝服务。对于 Debian 7“Wheezy”，这些问题已在 1.1.0-2+deb7u1 版本中修复。建议您升级 ruby-yajl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Debian 10 主机上安装的程序包受到 dla-3492 公告中提及的多个漏洞影响。

  - 在 Ruby 的 yajl-ruby gem 1.3.0 中，向 Yajl: : Parser.new.parse 提供特制的 JSON 文件时，整个 ruby 进程会发生崩溃，并且 yajl_encode.c 的 yajl_string_decode 函数会发出 SIGABRT 信号。这会导致整个 ruby 进程终止并可能拒绝服务。(CVE-2017-16516)

  - yajl-ruby 是 YAJL JSON 解析和生成库的 C 绑定。`yajl` 的 1.x 分支和 2.x 分支包含一个整数溢出，可在处理大型 (~2GB) 输入时导致后续堆内存损坏。当 `need` 值接近 0x80000000（即约 2GB 的数据）时，`yajl_buf.c#L64` 的重新分配逻辑可能会导致 `need` 32 位整数封装为 0，从而导致导致 buf->alloc 重新分配到一个小堆块中。这些整数在 `yajl` 的 2.x 分支中声明为 `size_t`，这实际上阻止了在 64 位平台上触发此问题，但仍可能在 `size_t` 为 32 位整数的 32 位版本上触发此问题。此分配不足的堆块的后续填充基于原始缓冲区大小，从而导致堆内存损坏。此漏洞主要影响进程可用性。维护者认为利用任意代码执行的可能性不大。补丁可用，预计将成为 yajl-ruby 1.4.2 版本的一部分。变通方案是避免向 YAJL 传递大量输入。(CVE-2022-24795)

  - 使用 yajl_tree_parse 函数的 yajl 2.1.0 中存在内存泄漏，会造成服务器内存不足并导致崩溃。(CVE-2023-33460)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
179386	Debian DLA-3516-1：burp - LTS 安全更新	Nessus	Debian Local Security Checks	2023/8/5	2025/1/22	high
178443	Ubuntu 16.04 ESM / 18.04 ESM：YAJL 漏洞 (USN-6233-1)	Nessus	Ubuntu Local Security Checks	2023/7/18	2024/8/27	high
186986	Ubuntu 20.04 LTS / 22.04 LTS / 23.04：YAJL 漏洞 (USN-6233-2)	Nessus	Ubuntu Local Security Checks	2023/12/15	2024/10/29	high
220961	Linux Distros 未修补的漏洞: CVE-2017-16516	Nessus	Misc.	2025/3/4	2025/8/27	high
104464	Debian DLA-1167-1：ruby-yajl 安全更新	Nessus	Debian Local Security Checks	2017/11/9	2021/1/11	high
178173	Debian DLA-3492-1：yajl - LTS 安全更新	Nessus	Debian Local Security Checks	2023/7/11	2025/1/22	high

检测

插件搜索

high

high

high

high

high

high