リモートの Debian 10 ホストには、dla-3832 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3832-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 6 月 17 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : pymongo バージョン : 3.7.1-1.1+deb10u1 CVE ID : CVE-2024-5629

    「bson」モジュールの領域外読み取りにより、サーバーが提供する無効な形式の BSON の逆シリアル化が可能になり、任意のアプリケーションメモリを含む可能性のある例外が発生しました。

    Debian 10 buster では、この問題はバージョン 3.7.1-1.1+deb10u1 で修正されています。

    お使いの pymongo パッケージをアップグレードすることを推奨します。

    pymongo の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/pymongo

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-3832 : python-bson - セキュリティ更新

high Nessus プラグイン ID 200653

バージョン 1.2

バージョン 1.1

バージョン 1.2 Jun 19, 2024, 9:24 AM CVSS metrics ("CVSSv2 score" set to 9.4) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:C") CVSS metrics ("CVSSv3 score" set to 8.1) CVSS metrics ("CVSSv3 vector" set to "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H") CVSSv2 severity (based on CVE-2024-5629, severity increased from "Medium" to "High") CVSSv3 severity (based on None, severity increased from "Medium" to "High") Plugin Feed: 202406190924
バージョン 1.1 Jun 17, 2024, 11:03 PM New Plugin Feed: 202406172303