リモートのOracle Linux 8ホストに、ELSA-2022-90581アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - SnakeYaml の Constructor() クラスは、逆シリアル化中にインスタンス化できるタイプを制限しません。
    攻撃者が提供した yaml コンテンツを逆シリアル化すると、リモートでコードが実行される可能性があります。信頼できないコンテンツを解析して逆シリアル化を制限するときは、SnakeYaml の SafeConsturctor を使用することをお勧めします。(CVE-2022-1471)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 8:ELSA-2022-9058-1: / prometheus-jmx-exporter (ELSA-2022-90581)

critical Nessus プラグイン ID 168839

バージョン 1.2