リモートのRocky Linux 8ホストには、RLSA-2021:4592アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - ** 異論あり ** 14.0 までの Unicode 仕様の双方向アルゴリズムで問題が発見されました。これにより、コントロールシーケンスを介して文字の視覚的な並べ替えが可能になります。これを利用して、コンパイラやインタープリターが取り込んだトークンの論理的な順序とは異なるロジックをレンダリングするソースコードを細工することができます。攻撃者はこれを悪用し、Unicode を受け入れるコンパイラのソースコードをエンコードすることで、対象となる脆弱性が人間のレビューアの目に見えないように導入される可能性があります。注意: Unicode Consortium は、この問題を提示する次の代替アプローチを提供しています。Unicode 標準および Unicode 双方向アルゴリズム (すべてのバージョン) のサポートを実装するアプリケーションに影響を与える可能性がある、国際化テキストの性質に問題が言及されています。テキストに左から右および右から左の文字が含まれているときのテキスト表示動作により、トークンの視覚的な順序が論理的な順序と異なる場合があります。
    さらに、双方向テキストの要件を完全にサポートするために必要な制御文字が、トークンの論理的な順序をさらに不明瞭にする可能性があります。緩和されない限り、攻撃者は、人間のレビューアが認識するトークンの順序が、コンパイラ/インタープリター/その他で処理されるものと一致しないように、ソースコードを細工する可能性があります。Unicode Consortium は、このクラスの脆弱性をドキュメント、Unicode Technical Report #36、Unicode Security 考慮事項で文書化しています。Unicode Consortium は、Unicode Technical Standard #39、Unicode Security メカニズム、および Unicode Standard Annex #31、Unicode Identifier と Pattern Syntax で、このクラスの問題の緩和策に関するガイダンスも提供しています。また、BIDI 仕様により、アプリケーションは、プログラムテキストの誤解を招く視覚的な順序変更を緩和できる方法で、実装を調整できます。Unicode Standard Annex #9、Unicode 双方向アルゴリズムの HL4 を参照してください。
    (CVE-2021-42574)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8gcc-toolset-10-annobinRLSA-2021:4592

high Nessus プラグイン ID 184537

変更ログが見つかりません