リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:4606-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ORAS は、OCI Artifacts を OCI Conformant レジストリにプッシュする方法を可能にするオープンソースソフトウェアです。ORAS は、初期テスト用の CLI であり、Go モジュールでもあります。バージョン 0.4.0 以降およびバージョン 0.9.0 以前の ORAS では、zip-slip の脆弱性があります。ディレクトリサポート機能により、ダウンロードした gzip で圧縮された tarball を、tarball がシンボリックリンクとハードリンクを持つことができるユーザー指定のディレクトリに自動的に抽出できます。巧妙に細工された tarball により、悪意のあるアーティファクトプロバイダーが、「oras pull」を実行するユーザーと同じ権限で、ユーザー指定のディレクトリ外のホストファイルシステム上の特定のファイルを予期せずにリンク、書き込み、または上書きする可能性があります。影響を受けるバージョンのユーザーは、「oras pull」を実行する「oras」CLI ユーザーであるか、「github.com/deislabs/oras/pkg/content.FileStore」を呼び出す Go プログラムである場合、影響を受けます。この問題は、バージョン 0.9.0 で修正されました。「oras」CLI ユーザーの場合、信頼できるアーティファクトプロバイダーからプルする以外に回避策はありません。「oras」パッケージのユーザーの回避策は、「github.com/deislabs/oras/pkg/content.FileStore」を使用せず、代わりに他のコンテンツストアを使用するか、信頼できるアーティファクトプロバイダーからプルすることです。(CVE-2021-21272)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、_repo_package で NULL ポインターデリファレンスの影響を受けます。_repo_ パッケージには、リポジトリのインデックスファイルを処理するハンドラーが含まれています。たとえば、Helm クライアントは、チャートが管理されているチャートリポジトリへの参照を追加します。_repo_ パッケージは、リポジトリのインデックスファイルを解析し、Go が操作できる構造にロードします。一部の文字列入力によって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _repo_ パッケージを使用してインデックスファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm Client は、メモリ違反パニックを引き起こすインデックスファイルでパニックになります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_repo_ 関数に渡す前に、正しくフォーマットされたインデックスファイルを検証できます。(CVE-2022-23525)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: helm (SUSE-SU-2022:4606-1)

critical Nessus プラグイン ID 169282

バージョン 1.5