Amazon Linux AMI : amazon-ssm-agent (ALAS-2024-1920)

critical Nessus プラグイン ID 190705

Language:

概要

リモートの Amazon Linux AMI ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている amazon-ssm-agent のバージョンは、3.2.2222.0-1 より前です。したがって、ALAS-2024-1920 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で設定するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

- 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪質な HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

- v5.11 より前の go-git バージョンので、サービス拒否 (DoS) の脆弱性が見つかりました。この脆弱性により、攻撃者は特別に細工された応答を Git サーバーから提供し、go-git クライアントのリソース枯渇を発生させることで、サービス拒否攻撃を実行する可能性があります。go-git がサポートするインメモリファイルシステムのみを使用するアプリケーションは、この脆弱性の影響を受けません。これは go-git 実装の問題であり、upstream git cli には影響しません。(CVE-2023-49568)

- v5.11 より前のバージョンの go-git で、パストラバーサルの脆弱性が見つかりました。この脆弱性により、攻撃者はファイルシステム全体でファイルを作成および修正できます。最悪の場合、リモートでコードが実行される可能性があります。アプリケーションは、ChrootOS https://pkg.go.dev/github.com/go-git/go-billy/v5/osfs#ChrootOS を使用している場合にのみ影響を受けます。これは、Plain バージョンのオープンおよびクローン関数 (PlainClone など) を使用する場合のデフォルトです。BoundOS https://pkg.go.dev/github.com/go-git/go-billy/v5/osfs#BoundOS またはインメモリファイルシステムを使用するアプリケーションは、この問題の影響を受けません。これは go-git 実装の問題であり、upstream git cli には影響しません。
(CVE-2023-49569)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。