Amazon Linux 2023 : perl-HTTP-Daemon、perl-HTTP-Daemon-tests (ALAS2023-2023-247)

medium Nessus プラグイン ID 178537

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2023-247 のアドバイザリに記載されている脆弱性の影響を受けます。

- HTTP: : デーモンは、perl で書かれたシンプルな http サーバークラスです。6.15 より前のバージョンは、脆弱性の影響を受ける可能性があり、これが悪用されて、API への特権アクセスを取得したり、中間キャッシュをポイズニングしたりする可能性があります。リスクがどれほど大きいかは不明ですが、ほとんどの Perl ベースのアプリケーションは、「HTTP: : Daemon」ではなく、Nginx または Apache 上で提供されます。このライブラリは、ローカルの開発およびテストで一般的に使用されます。この問題を解決するために、ユーザーには更新をお勧めします。アップグレードできないユーザーは、緩和策としてリクエスト処理ロジックをすることができます。「my $rqst= $conn->get_request()」を呼び出した後、返された「HTTP: : Request`オブジェクト。「Content-Length」(「my $cl= $rqst->header(「Content-Length」)」) を問い合わせると、「400」応答で対処すべき異常が表示されます。「Content-Length」に期待される文字列は、単一の負でない整数、またはその数値のカンマ区切りの繰り返しのどちらかで構成する必要があります。(「42」または「42, 42, 42」)。その他は拒否しなければなりません。(CVE-2022-31081)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。