リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3666-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、チャートを管理するためのツールです。チャートは、事前構成済みの Kubernetes リソースのパッケージです。CNCF が提供するファズテストにより、メモリ不足のパニックを引き起こす可能性がある _strvals_パッケージの関数への入力が特定されました。_strvals_ パッケージには、文字列を Go 構造体に変換するパーサーが含まれています。
    _strvals_ パッケージは、これらの文字列を Go が使用できる構造体に変換します。一部の文字列入力によって配列データ構造が作成され、メモリ不足のパニックを引き起こす可能性があります。Helm SDK の _strvals_ パッケージを使用してユーザー指定の入力を解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm クライアントは、「--set」、「--set-string」、およびその他の値設定フラグへの入力により、メモリ不足のパニックを引き起こします。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.9.4 で解決済みです。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-36055)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: helm (SUSE-SU-2022:3666-1)

critical Nessus プラグイン ID 166311

バージョン 1.5