There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Incus is a system container and virtual machine manager. An issue in versions prior to 6.0.6 and 6.19.0
    affects any Incus user in an environment where an unprivileged user may have root access to a container
    with an attached custom storage volume that has the `security.shifted` property set to `true` as well as
    access to the host as an unprivileged user. The most common case for this would be systems using `incus-
    user` with the less privileged `incus` group to provide unprivileged users with an isolated restricted
    access to Incus. Such users may be able to create a custom storage volume with the necessary property
    (depending on kernel and filesystem support) and can then write a setuid binary from within the container
    which can be executed as an unprivileged user on the host to gain root privileges. A patch for this issue
    is expected in versions 6.0.6 and 6.19.0. As a workaround, permissions can be manually restricted until a
    patched version of Incus is deployed. (CVE-2025-64507)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Cross-Site Request Forgery (CSRF) in LXD-UI in Canonical LXD versions >= 5.0 on Linux allows an attacker
    to create and start container instances without user consent via crafted HTML form submissions exploiting
    client certificate authentication. (CVE-2025-54286)

  - Template Injection in instance snapshot creation component in Canonical LXD (>= 4.0) allows an attacker
    with instance configuration permissions to read arbitrary files on the host system via specially crafted
    snapshot pattern templates using the Pongo2 template engine. (CVE-2025-54287)

  - Information Spoofing in devLXD Server in Canonical LXD versions 4.0 and above on Linux container platforms
    allows attackers with root privileges within any container to impersonate other containers and obtain
    their metadata, configuration, and device information via spoofed process names in the command line.
    (CVE-2025-54288)

  - Privilege Escalation in operations API in Canonical LXD <6.5 on multiple platforms allows attacker with
    read permissions to hijack terminal or console sessions and execute arbitrary commands via WebSocket
    connection hijacking format (CVE-2025-54289)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Incus 是系统容器和虚拟机管理器。 6.0.6 和 6.19.0 之前版本中的问题会影响以下环境中的任何 Incus 用户。在该环境中非特权用户可能拥有容器的根访问权限该容器具有附加的自定义存储卷“security.shifted”属性设置为“true”作为以及以非特权用户身份访问主机的权限。最常见的情况是系统将“incus-user”与较低权限的“incus”组一起使用为非特权用户提供隔离的限制 Incus 访问权限。此类用户可能会使用必要的属性取决于内核和文件系统支持创建自定义存储卷然后从容器中写入 setuid 二进制文件能够在主机上以非特权用户的身份执行从而获取 root 权限。版本 6.0.6 和 6.19.0中预期会提供针对此问题的修补程序。变通方案是可以手动限制权限直到部署 Incus 的修补版本。 (CVE-2025-64507)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 12 主機已安裝一個受到 dsa-6057 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6057-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件lxd CVE ID CVE-2025-64507

    據發現如果無權限的使用者可以透過 lxd-user 存取 LXD則係統容器和虛擬機器管理員 LXD 容易受到一個本機權限提升弱點影響。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 5.0.2-5+deb12u2 版本中修正。

    建議您升級 lxd 套件。

    如需 lxd 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/lxd

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-6057 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6057-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包lxd CVE ID CVE-2025-64507

    已发现如果允许非特权用户通过 lxd-user 访问 LXD则 LXD一种系统容器和虚拟机管理器容易受到本地权限升级漏洞的影响。

    对于旧稳定发行版本 (bookbird)已在版本 5.0.2-5+deb12u2 中修复此问题。

    我们建议您升级 lxd 程序包。

    有关 lxd 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/lxd

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Incus 是一個系統容器與虛擬機器管理員。 6.0.6 和 6.19.0 之前的版本中存在一個問題會影響環境中的所有 Incus 使用者無權限的使用者可能對具有附加自訂儲存磁碟區的容器擁有 root 存取權該磁碟區將 `security.shifted` 內容設為 `true`以及以無權限使用者身分存取主機的權限。最常見的情況是系統使用「incus-user」及較低權限的「incus」群組為無權限的使用者提供 Incus 的隔離受限存取權。這些使用者可以建立具有必要內容的自訂儲存磁碟區 (視核心和檔案系統支援而定)然後從容器內寫入 setuid 二進位檔在主機上可以無權限的使用者身分執行以取得 root 權限。預期 6.0.6 和 6.19.0版本中有此問題的修補程式。作為因應措施可手動限制權限直到部署 Incus 的修補版本為止。 (CVE-2025-64507)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Debian 13 主機已安裝一個受到 dsa-6051 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6051-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 incus CVE ID CVE-2025-64507

    據發現Incus (一種系統容器和虛擬機器管理員) 容易受到一個本機權限提升弱點影響無權限的使用者可透過 incus-user 存取 Incus。

    針對穩定的發行版本 (trixie)此問題已在 6.0.4-2+deb13u2 版本中修正。

    建議您升級 incus 套件。

    如需 incus 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/incus

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6051 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6051-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 incus CVE ID CVE-2025-64507

    已发现系统容器兼虚拟机管理器 Incus 容易受到本地权限提升漏洞影响非特权用户可以通过 incus-user 访问 Incus。

    对于稳定发行版本 (trixie)已在版本 6.0.4-2+deb13u2 中修复此问题。

    我们建议您升级 incus 程序包。

    有关 incus 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/incus

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 13 ホストには、dsa-6051 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6051-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ incus CVE ID CVE-2025-64507

    システムコンテナおよび仮想マシンマネージャーである Incus が、ローカル権限昇格の脆弱性に脆弱であることが判明しました。権限のないユーザーは、incus-user を通じて Incus にアクセスすることができます。

    安定版 (stable) ディストリビューション (trixie) では、この問題はバージョン 6.0.4-2+deb13u2 で修正されています。

    incus パッケージをアップグレードすることを推奨します。

    incus の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/incus

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Incus は、システムコンテナおよび仮想マシンマネージャーです。 6.0.6 および 6.19.0 より前のバージョンの問題が、権限のないユーザーが、「security.shifted」プロパティが「true」に設定されているコンテナに root アクセスできる環境の Incus ユーザーすべてに影響を与えます。権限のないユーザーとしてホストにアクセスできる可能性があります。これが最も一般的なケースは、権限の低い「incus」グループを含む「incus-user」を使用して、権限のないユーザーに個別の制限付きアクセスを Incus に提供するシステムです。このようなユーザーは、必要なプロパティでカスタムストレージボリュームを作成でき (カーネルおよびファイルシステムのサポートによる)、その後、コンテナ内から setuid バイナリを書き込むことができ、これがホスト上の権限のないユーザーとして実行され、root 権限を取得する可能性があります。この問題のパッチは、バージョン 6.0.6 および 6.19.0で期待されています。回避策として、Incus のパッチが適用されたバージョンがデプロイされるまで、アクセス許可を手動で制限することができます。CVE-2025-64507

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-6057 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6057-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ lxd CVE ID CVE-2025-64507

    システムコンテナおよび仮想マシンマネージャーである LXD が、権限のないユーザーが lxd-user を通じて LXD にアクセスすることを許可された場合に、ローカルの権限昇格の脆弱性に対して脆弱であることが判明しました。

    旧安定版oldstableディストリビューションbookbirdでは、この問題はバージョン 5.0.2-5+deb12u2 で修正されています。

    lxd パッケージをアップグレードすることを推奨します。

    lxd の詳細なセキュリティステータスについては、次のセキュリティ追跡ページを参照してください
    https://security-tracker.debian.org/tracker/lxd

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Incus is a system container and virtual machine manager. An issue in versions prior to 6.0.6 and 6.19.0     affects any Incus user in an environment where an unprivileged user may have root access to a container     with an attached custom storage volume that has the `security.shifted` property set to `true` as well as     access to the host as an unprivileged user. The most common case for this would be systems using `incus-     user` with the less privileged `incus` group to provide unprivileged users with an isolated restricted     access to Incus. Such users may be able to create a custom storage volume with the necessary property     (depending on kernel and filesystem support) and can then write a setuid binary from within the container     which can be executed as an unprivileged user on the host to gain root privileges. A patch for this issue     is expected in versions 6.0.6 and 6.19.0. As a workaround, permissions can be manually restricted until a     patched version of Incus is deployed. (CVE-2025-64507)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 13 host has packages installed that are affected by a vulnerability as referenced in the dsa-6051 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6051-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     November 10, 2025                     https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : incus     CVE ID         : CVE-2025-64507

    It was discovered that Incus, a system container and virtual machine     manager, is prone to a local privilege escalation vulnerability     unprivileged users are allowed access to Incus through incus-user.

    For the stable distribution (trixie), this problem has been fixed in     version 6.0.4-2+deb13u2.

    We recommend that you upgrade your incus packages.

    For the detailed security status of incus please refer to its security     tracker page at:
    https://security-tracker.debian.org/tracker/incus

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 12 host has packages installed that are affected by a vulnerability as referenced in the dsa-6057 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6057-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     November 13, 2025                     https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : lxd     CVE ID         : CVE-2025-64507

    It was discovered that LXD, a system container and virtual machine     manager, is prone to a local privilege escalation vulnerability if     unprivileged users are allowed to access LXD through lxd-user.

    For the oldstable distribution (bookworm), this problem has been fixed     in version 5.0.2-5+deb12u2.

    We recommend that you upgrade your lxd packages.

    For the detailed security status of lxd please refer to its security     tracker page at:
    https://security-tracker.debian.org/tracker/lxd

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439451	SCA: security update for github.com/lxc/incus/v6 (GHSA-56mx-8g9f-5crf)	Tenable Cloud Security	SCA Checks	2026/3/30	2026/7/2	high
439451	SCA: security update for github.com/lxc/incus/v6 (GHSA-56mx-8g9f-5crf)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/30	2026/7/2	high
438878	Alpine: multiple incus packages: security update to 6.0.6-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/3/17	2026/7/14	critical
438878	Alpine: multiple incus packages: security update to 6.0.6-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/3/17	2026/7/14	critical
274626	Linux Distros 未修补的漏洞：CVE-2025-64507	Nessus	Misc.	2025/11/10	2026/7/31	high
275377	Debian dsa-6057lxd - 安全性更新	Nessus	Debian Local Security Checks	2025/11/13	2025/11/13	high
275377	Debian dsa-6057lxd - 安全更新	Nessus	Debian Local Security Checks	2025/11/13	2025/11/13	high
274626	Linux Distros 未修補的弱點：CVE-2025-64507	Nessus	Misc.	2025/11/10	2026/7/31	high
274638	Debian dsa-6051 golang-github-lxc-incus-dev - 安全性更新	Nessus	Debian Local Security Checks	2025/11/10	2025/11/10	high
274638	Debian dsa-6051 golang-github-lxc-incus-dev - 安全更新	Nessus	Debian Local Security Checks	2025/11/10	2025/11/10	high
274638	Debian dsa-6051 : golang-github-lxc-incus-dev - セキュリティ更新	Nessus	Debian Local Security Checks	2025/11/10	2025/11/10	high
274626	Linux Distros のパッチ未適用の脆弱性: CVE-2025-64507	Nessus	Misc.	2025/11/10	2026/7/31	high
275377	Debian dsa-6057 lxd - セキュリティ更新	Nessus	Debian Local Security Checks	2025/11/13	2025/11/13	high
274626	Linux Distros Unpatched Vulnerability : CVE-2025-64507	Nessus	Misc.	2025/11/10	2026/7/31	high
274638	Debian dsa-6051 : golang-github-lxc-incus-dev - security update	Nessus	Debian Local Security Checks	2025/11/10	2025/11/10	high
275377	Debian dsa-6057 : lxd - security update	Nessus	Debian Local Security Checks	2025/11/13	2025/11/13	high

检测

插件搜索

high

high

critical

critical

high

high

high

high

high

high

high

high

high

high

high

high