リモートの Ubuntu 20.04 LTS ホストには、USN-6629-3のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。影響を受けるバージョンは、特定の文字を不適切にデコードすることが判明しました。適切なサロゲートペアの一部ではないエスケープされたサロゲート文字を含む JSON 文字列が、正しくデコードされませんでした。これにより、文字列が破損するだけでなく、辞書でキーの取り違えや値の上書きが発生する可能性があります。信頼できないソースから JSON を解析するすべてのユーザーが脆弱です。バージョン 5.4.0 以降、UltraJSON はローンサロゲートを標準ライブラリの「json」モジュールが行うのと同じ方法でデコードし、解析された出力に保存します。ユーザーにアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2022-31116)

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。5.4.0 より前のバージョンでは、文字列デコードのためにバッファを再割り当てする際にエラーが発生すると、バッファが 2 回解放される可能性があります。UltraJSON が内部デコーダーを使用する方法により、この二重解放は Python からトリガーできません。この問題はバージョン 5.4.0 で解決されており、すべてのユーザーは UltraJSON 5.4.0 にアップグレードする必要があります。この問題についての既知の回避策はありません。(CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 20.04 LTS : UltraJSON の脆弱性 (USN-6629-3)

high Nessus プラグイン ID 190582

バージョン 1.1

バージョン 1.0

バージョン 1.1 Feb 15, 2024, 10:12 PM Plugin metadata Plugin Feed: 202402152212
バージョン 1.0 Feb 15, 2024, 7:41 PM Plugin metadata New Plugin Feed: 202402151941