したがって、ALAS2023-2024-498 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で設定するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。すぐに使用できるハンドラーラッパーは、バインドされていないカーディナリティがあるラベル「http.user_agent」および「http.method」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、HTTP ヘッダーユーザーエージェントまたはリクエスト用の HTTP メソッドを簡単にランダムに長く設定できます。ライブラリは、HTTP「method」および「User-Agent」のすべての値を記録する「httpconv.ServerRequest」を内部で使用します。影響を受けるためには、プログラムは、「otelhttp.NewHandler」ラッパーを使用し、CDN、LB、以前のミドルウェアなどのレベルで不明な HTTP メソッドまたはユーザーエージェントをフィルタリングしない必要があります。バージョン 0.44.0 により、属性「http.request.method」に対して収集される値が既知の値のセットに制限されるように変更された際に、この問題が修正されました。また、他のカーディナリティの高い属性が削除されました。影響を受けないようにするための回避策として、「otelhttp.WithFilter()」を使用できますが、特定のリクエストを完全に記録しないように、手動で慎重に構成する必要があります。このライブラリを便利かつ安全に使用するために、ライブラリはデフォルトで「不明な」非標準 HTTP メソッドおよびユーザーエージェントというラベルでマークし、そのようなリクエストが行われたがカーディナリティを増加させないことを示す必要があります。現在の動作を維持したい場合は、ライブラリ API で有効にする必要があります。(CVE-2023-45142)

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-498)

medium Nessus プラグイン ID 189342

バージョン 1.1