リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 3083 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 悪意を持って細工された HTTP/2 ストリームが、HPACK デコーダーでの過剰な CPU 消費を引き起こし、少数の小さなリクエストからのサービス拒否を引き起こす可能性があります。(CVE-2022-41723)

  - 大きなハンドシェイクレコードにより、crypto/tls でパニックを引き起こす可能性があります。クライアントとサーバーの両方が、大きな TLS ハンドシェイクレコードを送信する可能性があります。これにより、応答の構築を試行する際に、サーバーとクライアントはそれぞれパニックを引き起こします。これは、すべての TLS 1.3 クライアント、セッション再開を明示的に有効にする TLS 1.2 クライアント (Config.ClientSessionCache を nil 以外の値に設定)、およびクライアント証明書をリクエストする TLS 1.3 サーバー (Config.ClientAuth >= RequestClientCert に設定) に影響します。(CVE-2022-41724)

  - net/http および mime/multipart での過剰なリソース消費によるサービス拒否が可能です。
    mime/multipart.Reader.ReadForm によるマルチパートフォームの解析により、メモリおよびディスクファイルの大部分が無制限に消費される可能性があります。これは、Request メソッド FormFile、FormValue、ParseMultipartForm、および PostFormValue を持つ net/http パッケージのフォーム解析にも影響を与えます。ReadForm は maxMemory パラメーターを取り、最大 maxMemory バイト + 10MB (非ファイル部分用に予約済み) をメモリに保存するよう文書化されています。メモリに保存できないファイル部分は、一時ファイルのディスクに保存されます。ファイル以外のパーツ用に予約された設定不可の 10MB が大きすぎるため、それだけでサービス拒否のベクトルを開く可能性があります。ただし、ReadForm は、マップエントリのオーバーヘッド、パーツ名、MIME ヘッダーなど、解析されたフォームによって消費されるすべてのメモリを適切に考慮していなかったため、悪意を持って細工されたフォームが 10MB 以上を消費することがありました。さらに、ReadForm には作成されるディスクファイルの数に制限がなかったため、比較的小さなリクエスト本文で多数のディスク一時ファイルを作成することができました。修正により、ReadForm はさまざまな形式のメモリオーバーヘッドを適切に考慮し、メモリ消費の文書化された上限である 10MB + maxMemory バイトの範囲内に収まるようになりました。ユーザーは、この制限が高く、依然として危険である可能性があることを認識しておく必要があります。また、ReadForm は、複数のフォームパーツを 1 つの一時ファイルにまとめて、ディスク上の一時ファイルを最大 1 つまで作成するようになりました。mime/multipart.File インターフェース型のドキュメントには、ディスクに保存されている場合、File の基礎となる具象型は *os.File であると記述されています。このため、1 つのフォームに複数のファイルパーツが含まれる場合、パーツは 1 つのファイルに統合されるため、このようなことはなくなりました。各フォームパーツに対して個別のファイルを使用する以前の動作は、環境変数 GODEBUG=multipartfiles=distinct で再度有効にすることができます。ユーザーは、multipart.ReadForm およびそれを呼び出す http.Request メソッドが、一時ファイルによって消費されるディスクの量を制限するわけではないことに注意する必要があります。呼び出し元は、http.MaxBytesReader でフォームデータのサイズを制限できます。(CVE-2022-41725)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8: go-toolset：rhel8 (RHSA-2023: 3083)

high Nessus プラグイン ID 175849

バージョン 1.2