Amazon Linux 2022 : (ALAS2022-2022-179)
high Nessus プラグイン ID 167016
Language:
概要
リモートの Amazon Linux 2022 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2022-2022-179 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- Flatpak は、Linux アプリケーションのサンドボックスおよびディストリビューションフレームワークです。バージョン 1.12.3および 1.10.6より前では、Flatpak はインストール時にアプリのユーザーに表示される権限が、ランタイムのアプリに許可されている実際の権限と一致しているかを適切に検証しません。その場合、アプリのメタデータファイルには NULL バイトが存在します。したがって、アプリはユーザーの同意を得ることなく、アプリ自身に権限を与える可能性があります。
Flatpak は、コミットメタデータの xa.metadata キーから権限を読み取ることで、インストール中のユーザーに権限を表示します。これは、信頼できない GVariant であるため、null ターミネーターを含むことはできません。Flatpak は、これらの権限をメタデータファイルの *実際の* メタデータと比較し、偽りではなかったということを確認します。
ただし、実際のメタデータコンテンツはいくつかの場所にロードされ、単純な C スタイルの文字列として読み取られます。これは、メタデータファイルに null ターミネーターが含まれている場合、ターミネーターの *より前* のファイルのコンテンツのみが xa.metadata と比較されることを意味します。したがって、null ターミネーターの後でメタデータファイルに表示される権限は、ランタイムでは適用されますが、ユーザーには表示されません。そのため、悪意を持って細工されたアプリが、自身に隠された権限を与える可能性があります。初期または更新のいずれであれ、Flatpak に悪意を持って細工されたメタデータファイルがある場合、信頼できないソースから Flatpaks をインストールしているユーザーは危険にさらされます。この問題には、バージョン1.12.3 および 1.10.6でパッチが適用されています。回避策として、ユーザーはメタデータファイルまたはコミットメタデータの xa.metadata キーをチェックすることで、インストールされているアプリの権限を手動でチェックできます。
(CVE-2021-43860)
- Flatpak は、Linux アプリケーションのサンドボックスおよびディストリビューションフレームワークです。パストラバーサルの脆弱性は、 1.12.3および 1.10.6より前のバージョンの Flatpak に影響します。flatpak-builder は、ビルドの最後に「finish-args」を適用します。この時点で、ビルドディレクトリはマニフェストで指定されている完全なアクセス権を持つため、「flatpak build」に対してこれを実行すると、これらの権限が取得されます。通常、これは行われないため、問題にはなりません。ただし、「--mirror-screenshots-url」が指定されている場合、flatpak-builder はファイナライズ後に「flatpak build --nofilesystem= host appstream-utils mirror-screenshots」を起動するため、「--nofilesystem= host」保護でも問題が発生する可能性があります。通常の使用で生じる唯一の問題は、ユーザーが書き込み権限を持っているところならどこでも、これらの空のディレクトリが作成される可能性があることです。ただし、悪意のあるアプリケーションが「appstream-util」バイナリを置き換えて、さらに悪意のある操作を実行する可能性があります。Flatpak 1.12.3および 1.10.6では、「--nofilesystem= home」および「--nofilesystem= host」の動作を変更することで、これを解決しています。 (CVE-2022-21682)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
「dnf update flatpak --releasever=2022.0.20221102」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/AL2022/ALAS-2022-179.html
プラグインの詳細
深刻度: High
ID: 167016
ファイル名: al2022_ALAS2022-2022-179.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2022/11/5
更新日: 2022/11/5
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.3
CVSS v2
リスクファクター: Medium
Base Score: 6.8
Temporal Score: 5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2021-43860
CVSS v3
リスクファクター: High
Base Score: 8.6
Temporal Score: 7.5
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:flatpak-selinux, p-cpe:/a:amazon:linux:flatpak-session-helper, p-cpe:/a:amazon:linux:flatpak-session-helper-debuginfo, p-cpe:/a:amazon:linux:flatpak-tests, p-cpe:/a:amazon:linux:flatpak-tests-debuginfo, p-cpe:/a:amazon:linux:flatpak, p-cpe:/a:amazon:linux:flatpak-debuginfo, p-cpe:/a:amazon:linux:flatpak-debugsource, p-cpe:/a:amazon:linux:flatpak-devel, p-cpe:/a:amazon:linux:flatpak-libs, p-cpe:/a:amazon:linux:flatpak-libs-debuginfo, cpe:/o:amazon:linux:2022
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2022/11/1
脆弱性公開日: 2022/1/12
参照情報
CVE: CVE-2021-43860, CVE-2022-21682