Amazon Linux 2: containerd (ALASNITRO-ENCLAVES-2023-031)

high Nessus プラグイン ID 183443

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされているcontainerdのバージョンは1.6.19-1より前のものです。したがって、ALAS2NITRO-ENCLAVES-2023-031 のアドバイザリに記載されている脆弱性の影響を受けます。

- リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で構成するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ソリューション

「yum update containerd」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com/AL2/ALASNITRO-ENCLAVES-2023-031.html

https://alas.aws.amazon.com/cve/html/CVE-2023-39325.html

https://alas.aws.amazon.com/faqs.html

プラグインの詳細

深刻度: High

ID: 183443

ファイル名: al2_ALASNITRO-ENCLAVES-2023-031.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

公開日: 2023/10/20

更新日: 2023/12/8

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.4

CVSS v2

リスクファクター: High

基本値: 7.8

現状値: 5.8

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C

CVSS スコアのソース: CVE-2023-39325

CVSS v3

リスクファクター: High

基本値: 7.5

現状値: 6.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:amazon:linux:containerd-stress, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:containerd, p-cpe:/a:amazon:linux:containerd-debuginfo

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2023/10/18

脆弱性公開日: 2023/10/11

参照情報

CVE: CVE-2023-39325

IAVB: 2023-B-0080-S