FreeBSD : h2o - 無効な形式の HTTP/1.1 により、メモリ不足によるサービス拒否が発生 (4da51989-5a8b-4eb9-b442-46d94ec0802d)

high Nessus プラグイン ID 174957

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、4da51989-5a8b-4eb9-b442-46d94ec0802dのアドバイザリに記載されている脆弱性の影響を受けます。

- H2O は HTTP サーバーです。バージョン 2.3.0-beta2 以前では、リバースプロキシハンドラーが特定のタイプの無効な HTTP リクエストを処理しようとするとき、初期化されていないポインターから読み取って Upstream URL を構築しようとします。この動作により、クラッシュやバックエンド HTTP サーバーへの情報漏洩が発生する可能性があります。
プルリクエスト番号 3229 でこの問題が修正されます。プルリクエストは、コミット f010336 の「master」ブランチにマージされました。ユーザーは、f010336 以降をコミットするようにアップグレードする必要があります。(CVE-2023-30847)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。