Amazon Linux 2：mod_http2（ALAS-2020-1493）

high Nessus プラグイン ID 140635

Language:

概要

リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS2-2020-1493のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Apache HTTP Serverバージョン 2.4.20から2.4.43 HTTP/2モジュールおよび特定のトラフィックエッジパターンでトレース/デバッグが有効になっている場合、ロギングステートメントが誤った接続で行われ、メモリプールの同時使用を引き起こしていました。上記mod_http2のLogLevelを構成すると、パッチが適用されていないサーバーでもこの脆弱性が緩和されます。（CVE-2020-11993）

- Apache HTTP Serverのバージョン2.4.20から2.4.43。HTTP/2リクエストでの「Cache-Digest」ヘッダーの巧妙に作りこまれた値は、サーバーが実際にリソースをHTTP/2 PUSHした後でクラッシュが発生する原因になります。H2Push offでHTTP/2機能を設定すると、パッチが適用されていないサーバーでもこの脆弱性が緩和されます。（CVE-2020-9490）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。