Debian DLA-3127-1: libhttp-daemon-perl - LTS セキュリティ更新

medium Nessus プラグイン ID 165685

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3127 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- HTTP: : デーモンは、perl で書かれたシンプルな http サーバークラスです。6.15 より前のバージョンは、脆弱性の影響を受ける可能性があり、これが悪用されて、API への特権アクセスを取得したり、中間キャッシュをポイズニングしたりする可能性があります。リスクの大きさは不明ですが、ほとんどの Perl ベースのアプリケーションは、「HTTP: : Daemon」ではなく、Nginx や Apache の上で提供されています。このライブラリは、ローカルの開発およびテストで一般的に使用されます。この問題を解決するために、ユーザーには更新をお勧めします。アップグレードできないユーザーは、緩和策としてリクエスト処理ロジックをすることができます。「my $rqst = $conn->get_request()」を呼び出した後、返された「HTTP: : Request」オブジェクトを検査することができます。「Content-Length」(「my $cl = $rqst->header(「Content-Length」)」) を問い合わせると、「400」応答で対処すべき異常が表示されます。「Content-Length」に期待される文字列は、単一の負でない整数、またはその数値のカンマ区切りの繰り返しのどちらかで構成する必要があります。(「42」または「42, 42, 42」)。その他は拒否しなければなりません。(CVE-2022-31081)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。