リモートの Fedora 38 ホストには、FEDORA-2023-c33188f575 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - nats-server に承認ルールがなければ、ユーザーは認証なしで接続できます。nats-server 2.2.0 より前は、nats-server のすべての認証および承認ルールは、ユーザーを定義する承認ブロックにありました。nats-server 2.2.0 では、すべてのユーザーがアカウント内に存在します。これより前の構文を持つ認証ブロックを使用する場合、それらのユーザーは暗黙のグローバルアカウント $G に配置されます。アカウント内のユーザーは、新しいアカウントブロックに移動します。アカウントブロックが定義されている場合、単純なデプロイメントシナリオでは、多くの場合、システムアカウントへのクライアントアクセスを有効にするためだけに使用されます。追加されるアカウントがシステムアカウント$SYS のみである場合 、nats-server は $G 内に暗黙的なユーザーを作成し、それを「no_auth_user」アカウントとして設定し、認証ロジックなしでもルールなしと同じように有効にします。これにより、単純に接続する機能が維持され、システムアクセス用に 1 つの認証されたログインが追加されます。ただし、承認ブロックでは、これは間違っています。ユーザーがグローバルアカウントに存在し、ログインルールがあります。また、簡単なテストでは、認証が無効になっていることを管理者が認識しなくても、正常に接続できる可能性があります。私たちの盲点は、承認ではなくアカウントのみの使用への切り替えを奨励し、文書化したことにありました。修正済みのバージョンでは、承認ブロックを使用すると、 $G ユーザーの黙示的な作成とそれを「no_auth_user」ターゲットとして設定することが禁止されます。修正されていないバージョンでは、ユーザーなしで 2 つ目のアカウントを作成するだけでも、この動作は禁止されます。(FEDORA-2023-c33188f575)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Fedora 38 : nats-server (2023-c33188f575)

high Nessus プラグイン ID 183762

バージョン 1.0