リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2024: 0489 アドバイザリ。

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8: OpenShift Container Platform 4.12.48 (RHSA-2024: 0489)

high Nessus プラグイン ID 189869

バージョン 1.2

バージョン 1.0

バージョン 1.2 Jun 4, 2024, 3:18 AM Plugin metadata Plugin Feed: 202406040318
バージョン 1.0 Feb 1, 2024, 1:23 AM New Plugin Feed: 202402010123