openSUSE 15 セキュリティ更新: envoy-proxy (openSUSE-SU-2022:0065-1)

high Nessus プラグイン ID 158575

Language:

概要

リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。

説明

リモートの SUSE Linux SUSE15 ホストには、openSUSE-SU-2022:0065-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、多数の小さな (つまり 1 バイト) データフレームで HTTP/2 リクエストまたは応答をプロキシする際に、過剰な量のメモリを消費する可能性があります。(CVE-2020-12603)

- Envoy バージョン 1.14.2、1.13.2、1.12.4 またはそれ以前は、HTTP/2 クライアントが大きなペイロードをリクエストするものの、ストリーム全体を消費するのに十分なウィンドウ更新を送信せず、ストリームをリセットしない場合、メモリ使用率の増加の影響を受けます。(CVE-2020-12604)

- Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、長いフィールド名のある HTTP/1.1 ヘッダーや長い URL のあるリクエストを処理する際に、過剰な量のメモリを消費する可能性があります。(CVE-2020-12605)

- 1.16.1 以前の Envoy は、ドロップおよび切り捨てられたデータグラムを不適切に処理します。これは 1500 を超える UDP パケットサイズのセグメンテーション違反によって実証されています。(CVE-2020-35471)

- Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、受け入れる接続数が多すぎると、ファイル記述子やメモリが使い果たされる可能性があります。(CVE-2020-8663)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。