リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 1276 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - golang.org/x/text: -u- 拡張の解析中に発生する、language.ParseAcceptLanguage でのパニック (CVE-2020-28851)

  - golang.org/x/text: bcp47 タグの処理中に発生する、language.ParseAcceptLanguage でのパニック (CVE-2020-28852)

  - ulikunitz/xz: readUvarint の無限ループにより、サービス拒否が発生する可能性があります (CVE-2021-29482)

  - golang: net: IPアドレスオクテットの先頭の無関係なゼロ文字を不適切に解析する (CVE-2021-29923)

  -gogo / protobuf：plugin / unmarshal / unmarshal.goに特定のインデックス検証がありません (CVE-2021-3121)

  - golang: net/http/httputil：ハンドラーパニック後のpersistConnの際どい読み取りによるパニック (CVE-2021-36221)

  - nodejs-axios: trim 関数での正規表現のサービス拒否 (CVE-2021-3749)

  - golang.org/x/crypto: 空の平文パケットによりパニックが発生 (CVE-2021-43565)

  - envoy: JWT フィルター safe_regex match を使用する際の NULL ポインターデリファレンス (CVE-2021-43824)

  - envoy: 応答フィルターが応答データを増加させるときのメモリ解放後使用 (use-after-free) (CVE-2021-43825)

  - envoy: TCP over HTTP をトンネリングするときのメモリ解放後使用 (use-after-free) (CVE-2021-43826)

  - envoy: 構成処理が不適切なため、mTLS セッションを再検証せずに再利用できます (CVE-2022-21654)

  - envoy: ダイレクトレスポンスエントリのあるルートへの内部リダイレクトの不適切な処理 (CVE-2022-21655)

  - envoy: Cluster Discovery Service を介してクラスターを削除する際のスタックの枯渇 (CVE-2022-23606)

  - istio: 認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-23635)

  - istio: スタックの枯渇による、認証されていないコントロールプレーンのサービス拒否攻撃 (CVE-2022-24726)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 8: Red Hat OpenShift Service Mesh 2.0.9(RHSA-2022：1276)

critical Nessus プラグイン ID 159603

バージョン 1.9