リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 1275 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - envoy: JWT フィルター safe_regex match を使用する際の NULL ポインターデリファレンス (CVE-2021-43824)

  - envoy: 応答フィルターが応答データを増加させるときのメモリ解放後使用 (use-after-free) (CVE-2021-43825)

  - envoy: TCP over HTTP をトンネリングするときのメモリ解放後使用 (use-after-free) (CVE-2021-43826)

  - envoy: 構成処理が不適切なため、mTLS セッションを再検証せずに再利用できます (CVE-2022-21654)

  - envoy: ダイレクトレスポンスエントリのあるルートへの内部リダイレクトの不適切な処理 (CVE-2022-21655)

  - envoy: Cluster Discovery Service を介してクラスターを削除する際のスタックの枯渇 (CVE-2022-23606)

  - istio: 認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-23635)

  - istio: スタックの枯渇による、認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-24726)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 8: Red Hat OpenShift Service Mesh 2.1.2(RHSA-2022：1275)

critical Nessus プラグイン ID 159596

バージョン 1.6