Amazon Linux 2: cpio（ALAS-2020-1505）

high Nessus プラグイン ID 141939

Language:

概要

リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS2-2020-1505のアドバイザリに記載されている脆弱性の影響を受けます。

- 2.13以前のすべてのバージョンのcpioでは、TARアーカイブを生成する際に入力ファイルを適切に検証しません。
攻撃者が書き込みできるパスからTARアーカイブを作成するためにcpioが使用されると、その結果作成されるアーカイブには、攻撃者が持っていない権限のあるファイル、またはアクセス権を持たないパスのファイルが含まれる可能性があります。権限の高いユーザーから慎重に確認せずにこれらのアーカイブを抽出すると、システムが危険にさらされる可能性があります。 (CVE-2019-14866 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。