Debian DLA-3188-1：sysstat - LTS 安全更新
critical Nessus 插件 ID 167432
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 10 主机上安装的程序包受到 dla-3188 公告中提及的多个漏洞影响。- 在 sa_common.c 的 remap_struct() 中，12.1.6 之前的 sysstat 出现内存损坏，这是整数溢出所致。
(CVE-2019-16167)
- 在 sysstat 12.2.0 及之前的所有版本中，sa_common.c 的 check_file_actlst 中存在双重释放漏洞。(CVE-2019-19725)
- sysstat 是用于 Linux 操作系统的一组系统性能工具。在 32 位系统上，在 9.1.16 至 12.7.1 版中 allocate_structures 的 sa_common.c 中存在 size_t 溢出漏洞。allocate_structures 函数未在算术乘法运算之前充分检查边界，从而导致为代表系统活动的缓冲区分配的大小溢出。此问题可能导致远程代码执行 (RCE)。已在版本 12.7.1 中修补此问题。(CVE-2022-39377)
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级 sysstat 程序包。对于 Debian 10 buster，已在 12.0.3-2+deb10u1 版本中修复这些问题。
另见
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=939914
https://security-tracker.debian.org/tracker/source-package/sysstat
https://www.debian.org/lts/security/2022/dla-3188
https://security-tracker.debian.org/tracker/CVE-2019-16167
https://security-tracker.debian.org/tracker/CVE-2019-19725
插件详情
严重性: Critical
ID: 167432
文件名: debian_DLA-3188.nasl
版本: 1.3
类型: local
代理: unix
发布时间: 2022/11/14
最近更新时间: 2023/10/4
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2019-19725
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:isag, p-cpe:/a:debian:debian_linux:sysstat, cpe:/o:debian:debian_linux:10.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/11/14
漏洞发布日期: 2019/9/9