リモートの Debian 10 ホストには、dla-3469 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -Lua 5.3.5 には、lapi.c の lua_upvaluejoin にメモリ解放後使用 (use-after-free) があります。たとえば、引数が特定の関係にある debug.upvaluejoin 呼び出しをトリガーできる攻撃者によって、クラッシュの結果が達成される可能性があります。(CVE-2019-6706)

  - Lua 5.4.0 の ldebug.c により、getlocal(3、2^31) で実証されているように、getlocal および setlocal で否定オーバーフローおよびセグメンテーション違反が引き起こされる可能性があります。(CVE-2020-24370)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

DebianDLA-3469-1 : lua5.3 - LTS のセキュリティ更新

high Nessus プラグイン ID 177553

バージョン 1.0