The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4066 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4066-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     February 24, 2025                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : fort-validator     Version        : 1.5.3-1~deb11u2     CVE ID         : CVE-2024-45234 CVE-2024-45235 CVE-2024-45236 CVE-2024-45237                      CVE-2024-45238 CVE-2024-45239 CVE-2024-48943

    Multiple vulnerabilities have been discovered in fort-validator, a RPKI     validator and RTR server.

    CVE-2024-45234

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) an ROA or a Manifest containing        a signedAttrs encoded in non-canonical form. This bypasses Fort's        BER decoder, reaching a point in the code that panics when faced        with data not encoded in DER. Because Fort is an RPKI Relying Party,        a panic can lead to Route Origin Validation unavailability, which        can lead to compromised routing.


    CVE-2024-45235

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) a resource certificate        containing an Authority Key Identifier extension that lacks the        keyIdentifier field. Fort references this pointer without sanitizing        it first. Because Fort is an RPKI Relying Party, a crash can lead to        Route Origin Validation unavailability, which can lead to        compromised routing.

    CVE-2024-45236

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) a signed object containing an        empty signedAttributes field. Fort accesses the set's elements        without sanitizing it first. Because Fort is an RPKI Relying Party,        a crash can lead to Route Origin Validation unavailability, which        can lead to compromised routing.

    CVE-2024-45237

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) a resource certificate        containing a Key Usage extension composed of more than two bytes of        data. Fort writes this string into a 2-byte buffer without properly        sanitizing its length, leading to a buffer overflow.

    CVE-2024-45238

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) a resource certificate        containing a bit string that doesn't properly decode into a Subject        Public Key. OpenSSL does not report this problem during parsing, and        when compiled with OpenSSL libcrypto versions below 3, Fort        recklessly dereferences the pointer. Because Fort is an RPKI Relying        Party, a crash can lead to Route Origin Validation unavailability,        which can lead to compromised routing.

    CVE-2024-45239

       A malicious RPKI repository that descends from a (trusted) Trust        Anchor can serve (via rsync or RRDP) an ROA or a Manifest containing        a null eContent field. Fort dereferences the pointer without        sanitizing it first. Because Fort is an RPKI Relying Party, a crash        can lead to Route Origin Validation unavailability, which can lead        to compromised routing.

    CVE-2024-48943

       A malicious RPKI rsync repository can prevent Fort from finishing        its validation run by drip-feeding its content. The delayed        validation can lead to stale or unavailable Route Origin Validation.

    For Debian 11 bullseye, these problems have been fixed in version     1.5.3-1~deb11u2.

    We recommend that you upgrade your fort-validator packages.

    For the detailed security status of fort-validator please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/fort-validator

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

    Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Fort before 1.6.3. A malicious RPKI repository that descends from a (trusted)     Trust Anchor can serve (via rsync or RRDP) a resource certificate containing a Key Usage extension     composed of more than two bytes of data. Fort writes this string into a 2-byte buffer without properly     sanitizing its length, leading to a buffer overflow. (CVE-2024-45237)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 1.6.3之前的 Fort 中發現一個問題。繼承自 (受信任) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含由兩個以上位元的資料構成的 Key Usage 擴充的資源憑證。Fort 未正確清理其長度即將此字串寫入 2 位元組緩衝區，進而導致緩衝區溢位。 (CVE-2024-45237)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Fort 之前的版本中发现了问题 1.6.3。自（受信任）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供包含由两个以上字节数据构成的密钥用途扩展的资源证书。Fort 在未正确审查其长度的情况下将此字符串写入 2 字节缓冲区，从而导致缓冲区溢出。 (CVE-2024-45237)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Debian 11 ホストには、dla-4066 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS Advisory DLA-4066-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 2 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : fort-validator バージョン : 1.5.3-1~deb11u2 CVE ID : CVE-2024-45234 CVE-2024-45235 CVE-2024-45236 CVE-2024-45237 CVE-2024-45238 CVE-2024-45239 CVE-2024-48943

    RPKI バリデーターおよび RTR サーバーである fort-validator に複数の脆弱性が発見されました。

    CVE-2024-45234

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、非標準的な形式でエンコードされた signedAttrs を含む ROA またはマニフェストを (rsync または RRDP を介して) 提供する可能性があります。これは、Fort の BER デコーダーをバイパスし、DER でエンコードされていないデータに直面した場合にパニックを発生させるコードのポイントに到達します。Fort は RPKI Relying Party であるため、パニックが発生すると Route Origin Validation が利用できなくなり、ルーティングが危険にさらされる可能性があります。


    CVE-2024-45235

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、keyIdentifier フィールドのない Authority Key Identifier 拡張を含むリソース証明書を (rsync または RRDP を介して) 提供する可能性があります。Fort は、最初にサニタイズせずにこのポインターを参照します。Fort は RPKI Relying Party であるため、クラッシュが発生すると Route Origin Validation が利用できなくなり、ルーティングが危険にさらされる可能性があります。

    CVE-2024-45236

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、空の signedAttributes フィールドを含む署名済みオブジェクトを (rsync または RRDP を介して) 提供する可能性があります。Fort は、最初にサニタイズせずにセットの要素にアクセスします。Fort は RPKI Relying Party であるため、クラッシュが発生すると Route Origin Validation が利用できなくなり、ルーティングが危険にさらされる可能性があります。

    CVE-2024-45237

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、2 バイト以上のデータで構成される鍵使用の拡張を含むリソース証明書を (rsync または RRDP を介して) 提供する可能性があります。Fort はこの文字列を、その長さを適切にサニタイズせずに 2 バイトのバッファに書き込むため、バッファオーバーフローを引き起こします。

    CVE-2024-45238

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、サブジェクト公開鍵に適切にデコードされないビット文字列を含むリソース証明書を (rsync または RRDP を介して) 提供する可能性があります。OpenSSL は、解析中にこの問題を報告しません。また、3 より前の OpenSSL libcrypto バージョンでコンパイルされた場合、Fort はそのままポインターを逆参照します。Fort は RPKI Relying Party であるため、クラッシュが発生すると Route Origin Validation が利用できなくなり、ルーティングが危険にさらされる可能性があります。

    CVE-2024-45239

       (信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、null eContent フィールドを含む ROA またはマニフェストを (rsync または RRDP を介して) 提供する可能性があります。Fort は、最初にサニタイズせずにこのポインターを参照します。Fort は RPKI Relying Party であるため、クラッシュが発生すると Route Origin Validation が利用できなくなり、ルーティングが危険にさらされる可能性があります。

    CVE-2024-48943

       悪意のある RPKI rsync リポジトリが、コンテンツのドリップフィードを行うことで、Fort の検証実行を妨げる可能性があります。検証が遅れると、Route Origin Validation が古くなったり、利用できなくなったりする可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 1.5.3-1~deb11u2 で修正されました。

    お使いの fort-validator パッケージをアップグレードすることを推奨します。

    fort-validator の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/fort-validator

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

    添付ファイル:
    signature.asc 説明: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4066 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4066-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 2 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：fort-validator 版本：1.5.3-1~deb11u2 CVE ID：CVE-2024-45234 CVE-2024-45235 CVE-2024-45236 CVE-2024-45237 CVE-2024-45238 CVE-2024-45239 CVE-2024-48943

    在 fort-validator (一種 RPKI 驗證器和 RTR 伺服器) 中發現多個弱點。

    CVE-2024-45234

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供 ROA 或包含以非規範形式編碼的 signedAttrs 的資訊清單。這會繞過 Fort 的 BER 解碼器，造成程式碼中出現處理非以 DER 編碼的資料時會發生的錯誤。由於 Fort 是 RPKI 信賴方，因此發生錯誤時可導致路由來源驗證不可用，進而使路由遭到入侵。


    CVE-2024-45235

       繼承自 (受信任) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含缺少 keyIdentifier 欄位的授權金鑰識別碼擴充的資源憑證。Fort 未先清理即參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45236

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供包含空 signedAttributes 欄位的已簽章物件。Fort 未執行清理便存取此集合的元素。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45237

       繼承自 (受信任) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含由兩個以上位元的資料構成的 Key Usage 擴充的資源憑證。Fort 未正確清理長度便將此字串寫入大小為 2 個位元組的緩衝區，進而導致緩衝區溢位。

    CVE-2024-45238

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP) 提供包含未正確解碼為主體公開金鑰之位元字串的資源憑證。OpenSSL 未在剖析期間報告此問題，並且使用低於第 3 版的 OpenSSL libcrypto 進行編譯時，Fort 會輕率地將解除參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-45239

       繼承自 (受信任的) 信任錨點的惡意 RPKI 存放庫可 (透過 rsync 或 RRDP)  提供 ROA 或包含空 eContent 欄位值的資訊清單。Fort 未先清理即解除參照此指標。由於 Fort 是 RPKI 信賴方，因此程式損毀可導致路由來源驗證不可用，進而使路由遭到入侵。

    CVE-2024-48943

       惡意 RPKI rsync 存放庫可透過點播內容來阻止 Fort 完成驗證。延遲驗證可導致路由來源驗證過時或無法使用。

    針對 Debian 11 Bullseye，這些問題已在 1.5.3-1~deb11u2 版本中修復。

    建議您升級 fort-validator 套件。

    如需有關 fort-validator 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/fort-validator

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：這是經數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.6.3より前に Fort で問題が見つかりました。(信頼できる) Trust Anchor の派生元である悪意のある RPKI リポジトリが、2 バイト以上のデータで構成される鍵使用の拡張を含むリソース証明書を (rsync または RRDP を介して) 提供する可能性があります。Fort はこの文字列を、その長さを適切にサニタイズせずに 2 バイトのバッファに書き込むため、バッファオーバーフローを引き起こします。 （CVE-2024-45237）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

远程 Debian 11 主机上安装的多个程序包受到 dla-4066 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4066-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 2 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：fort-validator 版本：1.5.3-1~deb11u2 CVE ID：CVE-2024-45234 CVE-2024-45235 CVE-2024-45236 CVE-2024-45237 CVE-2024-45238 CVE-2024-45239 CVE-2024-48943

    在 fort-validator（一种 RPKI 验证器和 RTR 服务器）中发现多个漏洞。

    CVE-2024-45234

       从（受信任的）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供 ROA 或包含以非规范形式编码的 signedAttrs 的清单。它会绕过 Fort 的 BER 解码器，造成代码中出现遇到未以 DER 编码的数据时会发生的错误。由于 Fort 是 RPKI 依赖方，因此错误可导致路由源验证 (Route Origin Validation) 不可用，进而造成路由受损。


    CVE-2024-45235

       自（受信任）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供包含缺少 keyIdentifier 字段的颁发机构密钥标识符扩展的资源证书。Fort 没有在引用此指针前先执行审查。由于 Fort 是 RPKI 依赖方，因此系统崩溃可导致路由源验证 (Route Origin Validation) 不可用，进而造成路由受损。

    CVE-2024-45236

       从（受信任的）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供包含空 signedAttributes 字段的签名对象。Fort 没有在访问此集合的元素前先执行审查。由于 Fort 是 RPKI 依赖方，因此系统崩溃可导致路由源验证 (Route Origin Validation) 不可用，进而造成路由受损。

    CVE-2024-45237

       自（受信任）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供包含由两个以上字节数据构成的密钥用途扩展的资源证书。Fort 在未正确审查长度的情况下将此字符串写入大小为 2 个字节的缓冲区，从而导致缓冲区溢出。

    CVE-2024-45238

       从（受信任的）Trust Anchor 派生的恶意 RPKI 存储库可以（通过 rsync 或 RRDP）提供包含未正确解码为主体公钥的位字符串的资源证书。OpenSSL 在解析过程中不会报告此问题，而且使用低于版本 3 的 OpenSSL libcrypto 进行编译时，Fort 会轻率地取消引用该指针。由于 Fort 是 RPKI 依赖方，因此系统崩溃可导致路由源验证 (Route Origin Validation) 不可用，进而造成路由受损。

    CVE-2024-45239

       从（受信任的）Trust Anchor 派生的恶意 RPKI 存储库可（通过 rsync 或 RRDP）提供 ROA 或包含 eContent 字段值为 Null 的清单。Fort 没有先执行审查就取消引用该指针。由于 Fort 是 RPKI 依赖方，因此系统崩溃可导致路由源验证 (Route Origin Validation) 不可用，进而造成路由受损。

    CVE-2024-48943

       恶意 RPKI rsync 存储库可通过注入内容来阻止 Fort 完成其验证运行。验证延迟可导致路由源验证过时或不可用。

    对于 Debian 11 bullseye，这些问题已在 1.5.3-1~deb11u2 版本中修复。

    我们建议您升级 fort-validator 程序包。

    如需了解 fort-validator 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/fort-validator

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：这是经数字签名的消息部分

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
216672	Debian dla-4066 : fort-validator - security update	Nessus	Debian Local Security Checks	2025/2/23	2025/2/23	critical
229035	Linux Distros Unpatched Vulnerability : CVE-2024-45237	Nessus	Misc.	2025/3/5	2025/3/5	critical
229035	Linux Distros 未修補弱點：CVE-2024-45237	Nessus	Misc.	2025/3/5	2025/3/5	critical
229035	Linux Distros 未修补的漏洞: CVE-2024-45237	Nessus	Misc.	2025/3/5	2025/3/5	critical
216672	Debian dla-4066 : fort-validator - セキュリティ更新	Nessus	Debian Local Security Checks	2025/2/23	2025/2/23	critical
216672	Debian dla-4066：fort-validator - 安全性更新	Nessus	Debian Local Security Checks	2025/2/23	2025/2/23	critical
229035	Linux Distros のパッチ未適用の脆弱性: CVE-2024-45237	Nessus	Misc.	2025/3/5	2025/3/5	critical
216672	Debian dla-4066：fort-validator - 安全更新	Nessus	Debian Local Security Checks	2025/2/23	2025/2/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical