Amazon Linux 2023 : apache-ivy、apache-ivy-javadoc (ALAS2023-2023-336)

high Nessus プラグイン ID 181136

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2023-336 のアドバイザリに記載されている脆弱性の影響を受けます。

- Apache Software Foundation Apache Ivy において、XML 外部エンティティ参照の不適切な制限、XML インジェクション (別名: Blind XPath インジェクション) の脆弱性が存在します。この問題は、2.5.2 より前のすべてのバージョンの Apache Ivy に影響します。Apache Ivy 2.5.2 以前では、XML ファイルを解析する際 (独自の設定、Ivy ファイル、または Apache Maven POM を含む)、外部のドキュメントタイプの定義をダウンロードし、それに含まれているエンティティ参照を展開することを許可します。これは、データの漏洩、Ivy を実行しているマシンのみがアクセスできるリソースへのアクセス、またはさまざまな方法で Ivy の実行を妨げるために使用される可能性があります。Ivy 2.5.2 以降では、DTD 処理は Maven POM の解析時を除き、デフォルトで無効になりました。この DTD 処理は、Ivy に付属する DTD スニペットのみを含めることができます。これは、有効な XML ファイルではないものの、Maven によって受け入れられる既存の Maven POM を処理するために必要です。必要に応じて、新しく導入されたシステムプロパティを使用して、アクセスをより寛大にできます。バージョン 2.5.2 より前の Ivy のユーザーは、Java システムプロパティを使用して、外部 DTD の処理を制限できます。Oracle の [Java API for XML Processing (JAXP) セキュリティガイド] の [外部アクセス制限に関する JAXP プロパティ] セクションを参照してください。
(CVE-2022-46751)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update apache-ivy --releasever 2023.1.20230906」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com/AL2023/ALAS-2023-336.html

https://alas.aws.amazon.com/cve/html/CVE-2022-46751.html

https://alas.aws.amazon.com/faqs.html

プラグインの詳細

深刻度: High

ID: 181136

ファイル名: al2023_ALAS2023-2023-336.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

公開日: 2023/9/8

更新日: 2023/12/25

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.2

CVSS v2

リスクファクター: High

基本値: 8.5

現状値: 6.3

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:P

CVSS スコアのソース: CVE-2022-46751

CVSS v3

リスクファクター: High

基本値: 8.2

現状値: 7.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:amazon:linux:apache-ivy, p-cpe:/a:amazon:linux:apache-ivy-javadoc, cpe:/o:amazon:linux:2023

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2023/8/31

脆弱性公開日: 2023/8/21

参照情報

CVE: CVE-2022-46751