したがって、ALAS2023-2023-388 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    より前の x/crypto/ssh パッケージ 0.0。0-20211202192323-5770296golang.org/x/crypto の d904e により、攻撃者は SSH サーバーをパニックさせる可能性があります。CVE-2021-43565

    golang.org/x/crypto/ssh に破損した暗号化アルゴリズムの欠陥が見つかりました。この問題により、SHA-2 に基づく署名アルゴリズムを拒否するサーバーに対する RSA キーによる認証に、クライアントが失敗し、攻撃者がサーバーをクラッシュさせ、可用性の損失を引き起こすことが可能です。CVE-2022-27191

     1.18.6 より前の Go および 1.19.x より前の 1.19.1の Go の net/http では、シャットダウンが致命的なエラーによってプリエンプションされた場合、HTTP/2 接続が終了時にハングする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。CVE-2022-27664

    http2/hpack: hpack デコーディングで 2 次複雑度を回避 (CVE-2022-41723)

    テンプレートは、バックティック (`) を Javascript の文字列デリミタとして適切に考慮せず、期待通りにエスケープしませんでした。JS テンプレートリテラルには、ES6 以降、バックティックが使用されています。テンプレートの Javascript テンプレートリテラル内に Go テンプレートアクションが含まれていた場合、アクションのコンテンツを使用してリテラルを終了し、任意の Javascript コードを Go テンプレートに注入できました。(CVE-2023-24538)

    - HTTP/1 クライアントが、Host ヘッダーのコンテンツを完全に検証していません。悪意を持って細工された Host ヘッダーにより、追加のヘッダーまたはリクエスト全体が注入される可能性があります。この修正により、HTTP/1 クライアントは無効な Request.Host または Request.URL.Host 値を含むリクエストの送信を拒否するようになります。(CVE-2023-29406)

    証明書チェーン内の非常に大きな RSA キーは、クライアントやサーバーが署名の検証に多大な CPU 時間を費やす原因となる可能性があります。修正により、ハンドシェイク中に送信される RSA キーのサイズは 8192 ビット以下に制限されています。公的に信頼されている RSA キーに関する調査によると、現在これより大きなキーを持つ証明書は 3 つしか流通しておらず、この 3 つすべては実際には展開されていないテスト証明書のようです。プライベート PKI ではより大きなキーが使用されている可能性はありますが、弊社は Web PKI を対象としているため、crypto/tls ユーザーのデフォルトの安全性を高めるために、ここでの変更を行うことが合理的であると思われます。(CVE-2023-29409)

    HTML 名前空間にないテキストノードが間違ってそのままレンダリングされ、エスケープされるべきテキストが正しくレンダリングされなくなります。これにより、XSS 攻撃が引き起こされる可能性があります。(CVE-2023-3978)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : amazon-ssm-agent (ALAS2023-2023-388)

critical Nessus プラグイン ID 183829

バージョン 1.2