远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS 主机上安装的一个程序包受到 USN-7603-1 公告中提及的多个漏洞影响。

    Thomas Chauchefoin 发现 Composer 未正确处理某些参数。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。（CVE-2022-24828、CVE-2023-43655）

    Ed Cradock 发现 Composer 未正确处理某些文件的排除。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 22.04 LTS。
    (CVE-2024-24821)

    Martin Haunschmid 发现 Composer 未正确处理 git 分支名称。攻击者可能利用此问题执行任意代码。(CVE-2024-35241)

    Maciej Piechota 发现 Composer 未正确处理 VCS 分支名称。攻击者可能利用此问题执行任意代码。(CVE-2024-35242)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的一个程序包受到 dla-3838 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3838-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 6 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：composer 版本：1.8.4-1+deb10u4 CVE ID：CVE-2024-35241 CVE-2024-35242 Debian 缺陷：1073125 1073126

    在热门的 PHP 依存关系管理器 Composer 中发现存在多个命令行注入漏洞。

    “安装”、“状态”、“重新安装”和“删除”功能在搭配使用恶意构建的分支名称的 Git 或 Hg 存储库使用时存在问题，这可能被滥用于执行任意 shell 命令。

    对于 Debian 10 buster，已在 1.8.4-1+deb10u4 版本中修复此问题。

    我们建议您升级 composer 程序包。

    如需了解 composer 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/composer

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Composer 是 PHP 的依存关系管理器。在 2.2.24 和 2.7.7 版本之前的 2.x 分支上，在具有特别构建的分支名称的 git/hg 存储库内运行的“composer install”命令可导致命令注入。这需要克隆不受信任的存储库。2.2 LTS 的 2.2.24 版本或干线的 2.7.7 版本中提供了补丁。变通方案为避免克隆可能遭到入侵的存储库。(CVE-2024-35242)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11/12 主机上安装的一个程序包受到 dsa-5715 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5715-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 6 月 18 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：composer CVE ID：CVE-2024-35241 CVE-2024-35242

    在 PHP 的依存关系管理器 Composer 中发现两个漏洞，可能导致通过操作恶意 git/hg 存储库执行任意命令。

    对于旧的稳定发行版本 (bullseye)，这些问题已在 2.0.9-2+deb11u3 版本中解决。

    对于稳定发行版本 (bookworm)，这些问题已在 2.5.5-1+deb12u2 版本中解决。

    我们建议您升级 composer 程序包。

    如需了解 composer 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/composer

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该应用程序受到 ALAS2023-2024-659 公告中提及的一个漏洞影响。

    Composer 是 PHP 的依存关系管理器。在 2.2.24 和 2.7.7 版本之前的 2.x 分支上，在具有特别构建的分支名称的 git/hg 存储库内运行的“composer install”命令可导致命令注入。这需要克隆不受信任的存储库。2.2 LTS 的 2.2.24 版本或干线的 2.7.7 版本中提供了补丁。变通方案为避免克隆可能遭到入侵的存储库。(CVE-2024-35242)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
241064	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS：Composer 漏洞 (USN-7603-1)	Nessus	Ubuntu Local Security Checks	2025/7/1	2025/7/1	high
200768	Debian dla-3838：composer - 安全更新	Nessus	Debian Local Security Checks	2024/6/20	2024/8/7	high
255905	Linux Distros 未修补的漏洞：CVE-2024-35242	Nessus	Misc.	2025/8/27	2025/8/27	high
200705	Debian dsa-5715：composer - 安全更新	Nessus	Debian Local Security Checks	2024/6/18	2024/8/7	high
202927	Amazon Linux 2023：composer (ALAS2023-2024-659)	Nessus	Amazon Linux Local Security Checks	2024/7/22	2024/12/11	high

检测

插件搜索

high

high

high

high

high