GLSA-202305-23 : Lua：多个漏洞

critical Nessus 插件 ID 175055

语言：

描述

远程主机受到 GLSA-202305-23 中所述漏洞的影响（Lua：多个漏洞）

- Lua 5.1 到 5.2.3 之前的 5.2.x 中 ldo.c 内的 vararg 函数中的缓冲区溢出允许上下文有关的攻击者通过对具有大量固定参数的函数提供少量参数造成拒绝服务（崩溃）。(CVE-2014-5461)

- Lua v5.4.3 及更高版本受到段错误影响，这是由于 ldebug.c 中的 funcnamefromcode 函数存在类型混淆问题，可导致本地拒绝服务。(CVE-2021-44647)

- Lua 从（包括） 5.4.0 到（不包括） 5.4.4 版本中的 singlevar 缺少某个 luaK_exp2anyregup 调用，从而导致基于堆的缓冲区过度读取，可能会影响编译不受信任的 Lua 代码的系统。 (CVE-2022-28805)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 Lua 5.1 版用户均应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.1.5-r200 所有 Lua 5.3 版用户均应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.2.3 所有 Lua 5.4 版用户均应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-lang/lua-5.4.4-r103