Amazon Linux AMI：gzip (ALAS-2022-1590)

high Nessus プラグイン ID 161992

Language:

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている gzip のバージョンは、1.5-9.20 より前です。したがって、ALAS-2022-1590 のアドバイザリに記載されている脆弱性の影響を受けます。

- GNU gzip の zgrep ユーティリティに、任意のファイル書き込みの脆弱性が見つかりました。攻撃者が選択したファイル名 (細工されたファイル名など) に zgrep を適用すると、攻撃者が選択したファイルに攻撃者のコンテンツが上書きされる可能性があります。この欠陥は、2 つ以上の改行のあるファイル名を処理する際の検証が不十分なために発生し、選択されたコンテンツとターゲットファイル名が細工された複数行のファイル名に埋め込まれています。この欠陥により、権限の弱いリモート攻撃者が、zgrep にシステム上の任意のファイルの書き込みを強制させる可能性があります。(CVE-2022-1271)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。