リモートのDebian 11ホストには、dla-4228のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian LTS アドバイザリ DLA-4228-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 6 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ nginx バージョン 1.18.0-6.1+deb11u5 CVE ID CVE-2020-36309 CVE-2024-33452 Debian バグ986787

    高性能の Web およびリバースプロキシサーバーである Nginx で 2 つの脆弱性が発見されました。より正確には、Lua スクリプト言語を Nginx に埋め込んでいます。これは、リクエストのスマグリングを引き起こしたり、キャッシュポイズニングと認証バイパスを引き起こしたりする可能性があります。

    ngx_http_lua_module は、任意の libnginx-mod-http-lua バイナリパッケージにより提供されます。

    CVE-2020-36309

        ngx_http_lua_module は、API を使用して URI、またはリクエストまたは応答ヘッダーを変更する際、引数に安全でない文字を許可します。

    CVE-2024-33452

        lua-nginx-module により、リモートの攻撃者が、細工された HEAD リクエストを通じて、HTTP リクエストスマグリングを実行する可能性があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン1.18.0-6.1+deb11u5で修正されました。

    お使いの nginx パッケージをアップグレードすることを推奨します。

    nginx の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/nginx

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4228 libnginx-mod-http-auth-pam - セキュリティ更新

medium Nessus プラグイン ID 240484

バージョン 1.1