Amazon Linux 2022 : python-twisted (ALAS2022-2022-231)

high Nessus プラグイン ID 168547

Language:

概要

リモートの Amazon Linux 2022 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2022-2022-231 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- twisted は Python で書かれたイベント駆動型ネットワークエンジンです。影響を受けるバージョンでは、twisted により、オリジン間リダイレクトの後にクッキーと認証ヘッダーが漏洩します。この問題は、「twited.web.RedirectAgent」および「twisted.web」に存在します。BrowserLikeRedirectAgent」関数を呼び出します。ユーザーにアップグレードすることを推奨します。既知の回避策はありません。(CVE-2022-21712)

- Twisted は、Python 3.6+ をサポートする、イベントベースのインターネットアプリケーション用フレームワークです。22.2.0 より前では、Twisted SSH クライアントおよびサーバーの実装は、ピアの SSH バージョン識別子に対して無限量のデータを受け入れることができます。これはすべての利用可能なメモリを使用するバッファで終結します。アタッチは「nc -rv localhost 22 < /dev/zero」のように単純です。パッチがバージョン 22.2.0で利用可能です。現在、既知の回避策はありません。(CVE-2022-21716)

- Twisted は、Python 3.6+ をサポートする、イベントベースのインターネットアプリケーション用フレームワークです。バージョン 22.4.0rc1 より前は、「twisted.web.http」モジュールにある Twisted Web HTTP 1.1サーバーが、RFC 7230 で許可されているよりも緩やかに複数の HTTP リクエストコンストラクトを解析していました。この非準拠解析により、リクエストが複数の HTTP パーサーを通過する場合に非同期が発生し、HTTP リクエストスマグリングが発生する可能性があります。
影響を受ける可能性があるユーザーは、Twisted Web の HTTP 1.1サーバーおよび / またはプロキシを使用し、別の HTTP サーバーおよび / またはプロキシを介してリクエストを渡します。Twisted Web クライアントは影響を受けません。HTTP 2.0サーバーは異なるパーサーを使用するため、影響を受けません。この問題は、Twisted 22.4.0rc1 で対処されています。2 つの回避策が利用可能です : Upstream プロキシの脆弱性がアップグレードなどによって対処されていることを確認します。または、Upstream プロキシの構成など、他の手段で無効な形式のリクエストをフィルタリングします。
(CVE-2022-24801)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。