Amazon Linux 2: hiredis (ALASREDIS6-2023-004)

high Nessus プラグイン ID 182046

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている hiredis のバージョンは、0.13.3-17 より前です。したがって、ALAS2REDIS6-2023-004 のアドバイザリに記載されている脆弱性の影響を受けます。

-Hiredisは、Redisデータベース用の最小限のCクライアントライブラリです。影響を受けるバージョンでは、Hiredisが悪意を持って細工されたか、破損された「RESP」「mult-bulk」プロトコルデータを提供した場合、整数オーバーフローに対して脆弱です。「multi-bulk」 (配列のような ) 応答を解析するとき、hiredisは「count * sizeof (redisReply * ) 」が「SIZE_MAX」で表されるかどうかのチェックに失敗します。表すことができず、「calloc()」呼び出し自体がこのチェックを行わない場合、短い割り当て、そしてそれに続いてバッファオーバーフローが発生します。更新できないhiredisのユーザーの場合、[maxelements] (https://github.com/redis/hiredis#reader-max-array-elements ) コンテキストオプションを、オーバーフローが発生しないように十分小さい値に設定します。 (CVE-2021-32765 )

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。