リモートの Oracle Linux 7/8 ホストに、ELSA-2022-9363アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Istio は、マイクロサービスを接続、管理、保護するためのオープンプラットフォームです。影響を受けるバージョンでは、Istio コントロールプレーンである istiod にリクエスト処理エラーの脆弱性があるため、悪意のある攻撃者が特別に細工されたメッセージを送信し、クラスターの検証用 Webhook が公開されたときにコントロールプレーンがクラッシュする可能性があります。このエンドポイントは TLS ポート 15017 で提供されますが、攻撃者からの認証は必要ありません。単純なインストールの場合、Istiod は通常、クラスター内からのみ到達可能であり、漏洩範囲は制限されます。ただし、一部の導入、特に  [external istiod](https://istio.io/latest/docs/setup/install/external-controlplane/) トポロジでは、このポートはパブリックインターネットで公開されます。この問題には、バージョン1.13.2、1.12.5 および 1.11.8 でパッチが適用されています。ユーザーにアップグレードすることを推奨します。アップグレードできないユーザーは、パブリックインターネットに公開されている検証用 Webhook へのアクセスを無効にするか、既知の信頼できるエンティティセットにクエリできる IP アドレスのセットを制限する必要があります。(CVE-2022-24726)

  - Go 1.16.15より前および 1.17.8より前の 1.17.xの前の regexp.Compile により、深くネスト化された式を介して、スタックの枯渇が可能となっています。 (CVE-2022-24921)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 7 / 8 : olcne / istio / istio (ELSA-2022-9363)

high Nessus プラグイン ID 160856

変更ログが見つかりません