远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4175 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4175-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2025 年 5 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包mongo-c-driver 版本1.17.6-1+deb11u1 CVE ID CVE-2021-32050 CVE-2023-0437 CVE-2024-6381 CVE-2024-6383 CVE-2025-0755

    在 MongoDB C Driver 中发现多个漏洞。

    CVE-2021-32050

        一些 MongoDB 驱动程序可能会错误地将包含身份验证相关数据的事件发布到应用程序配置的命令监听器。在执行特定认证相关命令时，已发布的事件可能包含安全敏感数据。
        应用程序可能会不慎泄露此敏感信息，例如将其写入日志文件。仅当应用程序启用了命令监听器功能时（默认未启用），才会出现此问题。

    CVE-2023-0437

        在某些输入上调用 bson_utf8_validate 时可能发生含有无法达到的退出条件的循环即无限循环。

    CVE-2024-6381

        MongoDB C 驱动程序库中的 bson_strfreev 函数可能容易受到整数溢出该函数将尝试释放负偏移处的内存影响。这可能导致内存损坏。

    CVE-2024-6383

        MongoDB C Driver 中的 bson_string_append 函数可能容易受到缓冲区溢出的影响该函数可能会尝试分配过小的缓冲区并可能导致邻近堆内存的内存损坏。

    CVE-2025-0755

        执行可导致最终 BSON 文档超过最大允许大小 (INT32_MAX) 的操作时MongoDB C 驱动程序库中的各种 bson_append 函数可能容易受到缓冲区溢出的影响从而导致分段错误并可能导致应用程序崩溃。

    对于 Debian 11 Bullseye这些问题已在 1.17.6-1+deb11u1 版本中修复。

    我们建议您升级 mongo-c-driver 程序包。

    如需 mongo-c-driver 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/mongo-c-driver

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个安装的程序包该程序包受到 dla-4160 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4160-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2025 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libbson-xs-perl 版本 0.8.4-1+deb11u1 CVE ID CVE-2017-14227 CVE-2018-16790 CVE-2023-0437 CVE-2024-6381 CVE-2024-6383 CVE-2025-0755

    在 MongoDB BSON 序列化的 Perl XS 实现 libbson-xs-perl 中发现数个漏洞。

    CVE-2017-14227

        bson-iter.c 中的 bson_iter_codewscope 函数误算 bson_utf8_validate 长度参数其允许远程攻击者造成拒绝服务bson-utf8.c 的 bson_utf8_validate 函数中基于堆的缓冲区过度读取bson- 即为一例。 to-json.c。

    CVE-2018-16790

        _bson_iter_next_internal 存在通过特制的 bson 缓冲区造成的基于堆的缓冲区过度读取。

    CVE-2023-0437

        在某些输入上调用 bson_utf8_validate 时可能发生含有无法达到的退出条件的循环即无限循环。

    CVE-2024-6381

        MongoDB C 驱动程序库中的 bson_strfreev 函数可能容易受到整数溢出该函数将尝试释放负偏移处的内存影响。这可能导致内存损坏。

    CVE-2024-6383

        MongoDB C Driver 中的 bson_string_append 函数可能容易受到缓冲区溢出的影响该函数可能会尝试分配过小的缓冲区并可能导致邻近堆内存的内存损坏。

    CVE-2025-0755

        执行可导致最终 BSON 文档超过最大允许大小 (INT32_MAX) 的操作时MongoDB C 驱动程序库中的各种 bson_append 函数可能容易受到缓冲区溢出的影响从而导致分段错误并可能导致应用程序崩溃。

    对于 Debian 11 Bullseye已在版本 0.8.4-1+deb11u1 中修复这些问题。

    建议您升级 libbson-xs-perl 程序包。

    有关 libbson-xs-perl 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libbson-xs-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7613-1 公告中提及的多个漏洞影响。

    Karman Liu 发现 mongo-c-driver 未能正确处理某些内存操作。攻击者可能会利用此问题发起拒绝服务攻击，或执行任意代码。(CVE-2024-6381)

    Karman Liu 发现 mongo-c-driver 未能正确处理某些内存操作。攻击者可能会利用此问题发起拒绝服务攻击，或执行任意代码。此问题仅影响 Ubuntu 24.04 LTS。(CVE-2024-6383、CVE-2025-0755)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 MongoDB 版本为低于 7.0.16 的 7.0 或低于 8.0.1 的 8.0。因此，该应用程序受到 SERVER-94461 公告中提及的一个漏洞影响。

  - MongoDB C 驱动程序库中的各种 bson_append 函数在执行操作时可能容易受到缓冲区溢出漏洞影响，这些操作可导致最终 BSON 文档超过允许的最大大小 (INT32_MAX)，进而造成分段错误且可能发生应用程序崩溃。此问题会影响低于 1.27.5 的 libbson 版本、低于 8.0.1 的 MongoDB Server v8.0 版本以及低于 7.0.16 的 MongoDB Server v7.0 版本 (CVE-2025-0755)

  请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
236989	Debian dla-4175libbson-1.0-0 - 安全更新	Nessus	Debian Local Security Checks	2025/5/20	2025/5/20	high
235667	Debian dla-4160libbson-xs-perl - 安全更新	Nessus	Debian Local Security Checks	2025/5/9	2025/5/9	high
241353	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：mongo-c-driver 漏洞 (USN-7613-1)	Nessus	Ubuntu Local Security Checks	2025/7/4	2025/7/4	high
241372	MongoDB 7.0.x < 7.0.16 / 8.0.x < 8.0.1 缓冲区溢出 (SERVER-94461)	Nessus	Misc.	2025/7/4	2025/7/4	high

检测

插件搜索

high

high

high

high