リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3922-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - protobuf-java の問題により、com.google.protobuf.UnknownFieldSet フィールドが不適切に処理されるような方法でインターリーブされる可能性がありました。悪意のある小さなペイロードが、頻繁に一時停止を繰り返す短期間のオブジェクトを大量に作成することにより、パーサーを数分間占有する可能性があります。ライブラリを脆弱なバージョン以降にアップグレードすることを推奨します。(CVE-2021-22569)

  - protobuf-cpp の  3.16.1、3.17.3、3.18.2、3.19.4、3.20.1、3.21.5 以前の ProtocolBuffers バージョンの MessageSet タイプの解析の脆弱性、および protobuf-python の 3.16.1、3.17.3、3.18.2、3.19.4、3.20.1、4.21.5 以前のバージョンにより、メモリ不足の障害が発生する可能性があります。
    要素ごとに複数の key-value がある特別に細工されたメッセージは、解析の問題を引き起こし、サニタイズされていない入力を受信するサービスに対するサービス拒否につながる可能性があります。protobuf-cpp の場合はバージョン 3.18.3、3.19.5、3.20.2、3.21.6 に、protobuf-python の場合は 3.18.3、3.19.5、3.20.2、4.21.6 にアップグレードすることをお勧めします。3.16 および 3.17 のバージョンは更新されなくなりました。(CVE-2022-1941)

  - 3.21.7、3.20.3、3.19.6 および 3.16.3 より前のバージョンの protobuf-java core および lite のバイナリデータの解析の問題により、サービス拒否攻撃が引き起こされる可能性があります。繰り返しフィールドまたは不明なフィールドがある、繰り返されない組み込みメッセージの複数のインスタンスを含む入力により、オブジェクトが変更可能なフォームと不変のフォームの間で逆変換され、ガベージコレクションの一時停止時間が長くなる可能性があります。上記のバージョンに更新することをお勧めします。(CVE-2022-3171)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: protobuf (SUSE-SU-2022:3922-1)

high Nessus プラグイン ID 167241

バージョン 1.2