リモートの Ubuntu 20.04 LTS / 22.04 LTS / 22.10 ホストには、USN-5903-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - lighttpd 1.4.46から 1.4.63で、mod_extforward プラグインの mod_extforward_Forwarded 関数にスタックベースのバッファオーバーフロー (-1を表す4バイト) があります。これはデフォルト以外の構成におけるリモートのサービス拒否 (デーモンクラッシュ) で実証されています。デフォルト以外の構成では、やや異例な方法で Forwarded ヘッダーを処理する必要があります。また、32 ビットシステムは、64 ビットシステムよりもはるかに影響を受けやすいです。(CVE-2022-22707)

  - lighttpd 1.4.56 〜 1.4.66 の gw_backend.c でのリソース漏洩により、クライアントによる大量の異常な TCP 動作の後に、サービス拒否 (接続スロットの枯渇) が発生する可能性があります。これは、特定の HTTP /1.1 チャンク状態での RDHUP の不適切な処理に関連しています。例えば、mod_fastcgi の使用が影響を受けます。
    これは、1.4.67で修正されます。(CVE-2022-41556)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 20.04LTS / 22.04LTS: lighttpd の脆弱性 (USN-5903-1)

high Nessus プラグイン ID 172024

バージョン 1.2