Amazon Linux AMI：busybox (ALAS-2022-1558)

high Nessus プラグイン ID 156867

Language:

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされているbusyboxのバージョンは、1.34.1-1.13より前です。したがって、ALAS-2022-1558 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Busybox のハッシュアプレットの NULL ポインターデリファレンスにより、細工されたシェルコマンドを処理する場合、\x03 デリミタ文字の後に検証がないため、サービス拒否が発生します。これは、コマンド入力がフィルタリングされるという非常にまれな条件下で、DoS に使用される可能性があります。 (CVE-2021-42376)

- Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、getvar_i 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42378)。

- Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、next_input_file 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42379)。

- Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、handle_special 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42384)。

- Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、evaluate 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42385)。

- Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、nvalloc 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42386)。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。