☰

debsecan은 수정 사항 설치에도 불구하고 취약한 패키지를 보고합니다.

tag-icon • tag-icon debian security
debsecan은 수정 사항 설치에도 불구하고 취약한 패키지를 보고합니다.

다음을 포함한 최신 데비안 안정(bullseye) 설치가 있습니다 debian-security:

$ cat /etc/apt/sources.list
deb http://deb.debian.org/debian/              bullseye          main contrib non-free
deb http://security.debian.org/debian-security bullseye-security main contrib non-free
deb http://deb.debian.org/debian/              bullseye-updates  main contrib non-free

deb-src http://deb.debian.org/debian/               bullseye          main contrib non-free
deb-src http://security.debian.org/debian-security/ bullseye-security main contrib non-free
deb-src http://deb.debian.org/debian/               bullseye-updates  main contrib non-free

이것을 실행했을 때 너무 많은 CVE가 수정된 것을 보고 놀랐습니다 debsecan.

$ debsecan --suite bullseye --only-fixed | wc -l
310

일부 패키지를 살펴본 결과 이미 수정된 버전이 설치되어 있는 것을 발견했습니다. 이 경우 libc-bin 2.31-13+deb11u4CVE-2021-33574가 수정된 것으로 보입니다. 이미 +deb11u5설치했는데 왜 이 CVE가 내 시스템에 표시되어 있는지 이해할 수 없습니다.

$ debsecan --suite bullseye --only-fixed --format detail
CVE-2021-33574 (fixed)
  The mq_notify function in the GNU C Library (aka glibc) versions 2.32  ...
  installed: libc-bin 2.31-13+deb11u5
             (built from glibc 2.31-13+deb11u5)
  fixed in unstable: glibc 2.32-1 (source package)
  fixed on branch:   glibc 2.28-10+deb10u2 (source package)
  fixed on branch:   glibc 2.31-13+deb11u3 (source package)
  fixed on branch:   glibc 2.31-13+deb11u4 (source package)
  fixed on branch:   glibc 2.32-0experimental0 (source package)
  fix is available for the selected suite (bullseye)

이것은 거짓 긍정입니까, 아니면 이러한 결과를 잘못 해석하고 있습니까?

이 문제는 수정된 패키지에만 적용되는 것이 아닙니다. 이 경우에는 설치했지만 xxd수정되었습니다. 이 경우 수정사항이 적용되면서 동시에 건너뛰게 되나요?8.1.0875-5+deb10u48.2.2434-3+deb11u1unstabletestingoldstablestable

$ debsecan --suite bullseye | wc -l
2102
$ debsecan --suite bullseye  --format detail
CVE-2022-3324
  Stack-based Buffer Overflow in GitHub repository vim/vim prior to 9.0. ...
  installed: xxd 2:8.2.2434-3+deb11u1
             (built from vim 2:8.2.2434-3+deb11u1)
  fixed in unstable: vim 2:9.0.0626-1 (source package)
  fixed on branch:   vim 2:8.1.0875-5+deb10u3 (source package)
  fixed on branch:   vim 2:8.1.0875-5+deb10u4 (source package)
$

관련 정보