リモートの Fedora 39 ホストには、FEDORA-2023-3a895ff65c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で構成するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - NATS.io は、クラウド、オンプレミス、IoT、エッジコンピューティング向けに構築された、高性能なオープンソースの pub-sub 分散型通信テクノロジーです。暗号化キー処理ライブラリである nkeys は最近、署名/認証だけでなく、暗号化もサポートするようになりました。これは、nats-server 2.10 (2023 年 9 月) 以降の認証呼び出しに使用されます。NATS サーバーバージョン 0.4.0 から 0.4.5 に対応する nkeys バージョン 2.10.0 から 2.10.3 では、nkeys ライブラリの [xkeys] 暗号化処理ロジックが誤って内部関数に配列の値を渡してしまい、その関数が使用する暗号化キーを入力するためにそのバッファを変異させていました。結果として、すべての暗号化は、すべてゼロのキーで行われるようになりました。これは暗号化にのみ影響し、署名には影響しません。FIXME: NATS-SERVER 認証コールアウトセキュリティへの影響を入力します。NATS Server 2.10.4 に対応する nkeys Go ライブラリ 0.4.6 には、この問題用のパッチがあります。既知の回避策はありません。Go で認証コールアウトを処理するアプリケーションについては、nkeys ライブラリを使用している場合は、ロックステップで依存関係を更新し、再コンパイルしてデプロイしてください。(CVE-2023-46129)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 39 : golang-github-nats-io / golang-github-nats-io-jwt-2 / その他 (2023-3a895ff65c)

high Nessus プラグイン ID 186386

バージョン 1.0