Amazon Linux 2: python-twisted-web (ALAS-2023-2008)

medium Nessus プラグイン ID 173918

Language:

概要

リモートの Amazon Linux 2 ホストにセキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python-twisted-web のバージョンは、12.1.0-8 より前です。したがって、ALAS2-2023-2008 のアドバイザリに記載されている脆弱性の影響を受けます。

- Twisted は、イベントベースのインターネットアプリケーション用フレームワークです。バージョン 0.9.4で開始し、ホストヘッダーが構成済みのホスト「twisted.web.vhost.NameVirtualHost」と一致しない場合、「NoResource」リソースを返すため、ホストヘッダーが 404 応答にエスケープされず、HTML とスクリプトのインジェクションが可能になります。
実際には、これを悪用することは非常に困難です。通常の HTTP リクエストのホストヘッダーを変更できるということは、すでに権限のある立場にいることを意味しているからです。この問題は、バージョン 22.10.0rc1 で修正されました。既知の回避策はありません。(CVE-2022-39348)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。