openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2023:2182-1)
high Nessus プラグイン ID 175415
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。説明
リモートの openSUSE 15 ホストには、SUSE-SU-2023:2182-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。- 信頼できないソースから正規表現をコンパイルするプログラムは、メモリ枯渇またはサービス拒否に脆弱な場合があります。解析された正規表現は入力サイズに線形ですが、場合によっては定数係数が 40,000 にもなり、比較的小さな正規表現がはるかに多くのメモリを消費します。修正後に解析される各正規表現は 256 MB のメモリフットプリントに制限されます。表現がそれより多くのスペースを使用する正規表現は、拒否されます。正規表現の通常の使用は影響を受けません。(CVE-2022-41715)
- Prometheus Exporter Toolkit は、エクスポーターを構築するためのユーティリティパッケージです。0.7.2 および 0.8.2より前のバージョンでは、Prometheus web.yml ファイルおよびユーザーの暗号化されたパスワードにアクセスできるユーザーは、ビルトイン認証キャッシュをポイズニングすることでセキュリティをバイパスする可能性があります。バージョン 0.7.2と 0.8.2には、この問題の修正が含まれています。回避策はありませんが、攻撃者がこの機能を使用するには、ハッシュ化されたパスワードにアクセスできる必要があります。
(CVE-2022-46146)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける golang-github-prometheus-promu、prometheus-blackbox_exporter および / または prometheus-postgres_exporter パッケージを更新してください。参考資料
https://bugzilla.suse.com/1203599
https://bugzilla.suse.com/1204023
https://bugzilla.suse.com/1208049
https://bugzilla.suse.com/1208060
https://bugzilla.suse.com/1208062
https://bugzilla.suse.com/1208965
https://bugzilla.suse.com/1209113
https://lists.suse.com/pipermail/sle-updates/2023-May/029371.html
プラグインの詳細
深刻度: High
ID: 175415
ファイル名: suse_SU-2023-2182-1.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2023/5/12
更新日: 2023/7/12
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 9
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2022-46146
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2023/5/11
脆弱性公開日: 2022/10/4
参照情報
CVE: CVE-2022-41715, CVE-2022-46146
SuSE: SUSE-SU-2023:2182-1