Fedora 36: apptainer (2023-677d58bb20)

high Nessus プラグイン ID 171782

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 36 ホストには、FEDORA-2023-677d58bb20 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- github.com/sylabs/scs-library-client は、Singularity Container Services (SCS) コンテナライブラリサービスの Go クライアントです。scs-library-client を使用してコンテナイメージをプルすると、クライアントがライブラリサービスに送信する HTTP Authorization ヘッダーが、S3 バッキングストレージプロバイダーに不適切に漏洩する可能性があります。これは、ライブラリサービスがクライアントをバッキング S3 ストレージサーバーにリダイレクトし、マルチパートを同時にダウンロードする特定のフローで発生します。
サイト構成によっては、S3 サービスをサードパーティが提供する場合があります。S3 サービスにアクセスできる攻撃者が、ユーザーの認証情報を抽出し、ユーザーになりすます可能性があります。S3 へのリダイレクトを伴う脆弱なマルチパート同時ダウンロードフローは、Singularity Enterprise 1.x インストール、またはこのフローを実装しているサードパーティサーバーと通信する場合にのみ使用されます。Singularity Enterprise 2.x および Singularity Container Services (cloud.sylabs.io) との相互作用では、脆弱なフローが発生することはありません。全ユーザーが更新を行うことを推奨します。サードパーティの S3 ストレージサービスを使用して Singularity Enterprise 1.x インストールとやり取りするユーザーは、Singularity Enterprise 内で認証トークンを取り消して再作成することを推奨します。現時点では、回避策はありません。
(CVE-2022-23538)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。