したがって、ALAS2023-2023-174 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Ivy 2.4.0 では、オプションのパッケージ属性が導入され、pack200 または zip パッケージを使用したアーチファクトをその場で解凍できるようになりました。zip、jar または war パッケージを使用するアーチファクトの場合、 2.5.1 より前の Ivy は、アーカイブの抽出時にターゲットパスを検証しません。絶対パスまたは、「..」シーケンスを使用して上方にトラバースしようとするパスを含むアーカイブは、Ivy を実行しているユーザーが書き込みアクセス権を持つローカルファイルシステム上の任意の場所にファイルを書き込むことができます。バージョン 2.4.0 〜 2.5.0 の Ivy ユーザーは、Ivy 2.5.1 にアップグレードする必要があります。(CVE-2022-37865)

  - Apache Ivy は、リポジトリからアーチファクトをダウンロードする際に、組織、モジュール、バージョンなどのアーチファクト座標のプレースホルダーを含む可能性があるユーザー指定のパターンに基づいて、それらをローカルファイルシステムに保存します。一般に、Ivy 座標に対して有効な文字である「../」シーケンスが、この座標に含まれている場合、アーチファクトが Ivy のローカルキャッシュまたはリポジトリの外部に保存されたり、ローカルキャッシュ内の異なるアーチファクトを上書きしたりする可能性があります。Ivy は、「..」シーケンスを含む http リクエストを発行し、通常のリポジトリはこれをアーチファクト座標の一部として解釈しないため、この脆弱性を悪用するには、攻撃者がリモートリポジトリによるコラボレーションが必要です。Apache Ivy 2.0.0 〜 2.5.1 のユーザーは、Ivy 2.5.1 にアップグレードする必要があります。(CVE-2022-37866)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : apache-ivy、apache-ivy-javadoc (ALAS2023-2023-174)

critical Nessus プラグイン ID 175079

バージョン 1.0