私はDebian jessie安定版を使用しています。私はこのバージョンが wpa_supplicantDoS攻撃に対して脆弱であることを発見しました。CVE-2015-8041:
2.5 より前の Hostapd と 2.5 より前の wpa_supplicant の NDEF レコードパーサーでのマルチ整数オーバーフローにより、リモート攻撃者が (1) WPS または (2) P2P の大きなペイロード長フィールド値を介してサービス拒否 (プロセスの競合または無限)起こすことができました。ループ）NFC NDEFレコード、範囲外の読み取りをトリガします。
安定版で利用可能なバージョンは、現在のバージョンを wpa_supplicant 2.3通常のバージョンにアップグレードすることは不可能です。 Debian 安定版がいくつかの古い（脆弱な）パッケージを維持するのはなぜですか？sources.listwpa_supplicant 2.5
答え1
Debianには、サポートされているすべてのバージョンのCVEステータスを表示するセキュリティトラッカーがあります。これはあなたです：
https://security-tracker.debian.org/tracker/CVE-2015-8041
バージョンで修正されたことを確認できます2.3-1+deb8u3。修正が以前のバージョンにバックポートされている可能性があるため、安定したリリース（安定したリリースポイント）から新しいバージョンに再調整すると他のコンテンツが破損するのを防ぐことができます。
答え2
リモート個人がソフトウェアクラッシュ（DoS）を引き起こす可能性があるバグは、私たちが「脆弱性」について話しているときに一般的に考えるリスクレベルとまったく同じレベルではありません。私はそれを「脆弱な」パッケージと呼びません。そうしないと、プログラムがセキュリティの「脆弱性」にクラッシュする可能性があるバグを宣伝する可能性があります。
また、これが実際のDebianシステムで実際に悪用される可能性があるかもしれません。コメントを見るhttps://w1.fi/security/2015-5/incomplete-wps-and-p2p-nfc-ndef-record-payload-length-validation.txtそしてhttp://www.openwall.com/lists/oss-security/2015/11/02/5:
注：NFCスタックの実装が誤った形式のNDEFレコードをHostapd / wpa_supplicantに渡すことができるかどうかは確認されていません。したがって、この問題が実際に引き起こされるかどうかは不明です。
いつものように、セキュリティはリスク管理に関するものです。私にとっては、このエラーによるリスクレベルは非常に低いようです。