Nessus Agentのバージョン7.2.0～8.2.2は、Amazon EC2インスタンスにインストールした場合、Nessus Agentの初期リンク時にローカルホスト上のIAMロールセキュリティトークンを誤ってキャプチャすることが判明しました。これにより、権限のある攻撃者がトークンを取得する可能性があります。

さらに、サードパーティコンポーネント (OpenSSL) の1つに複数の脆弱性が含まれていることが判明し、プロバイダーにより更新バージョンが利用可能になっています。Nessus Agentバージョン8.2.3では、OpenSSLが1.1.1jに更新されます。
Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Tenable Nessus Agent < 8.2.3の複数の脆弱性 (TNS-2021-04)

medium Nessus プラグイン ID 147895

バージョン 1.10