リモートホストにインストールされている ecs-service-connect-agent のバージョンは、v1.27.3.0-1 より前です。したがって、ALAS2ECS-2024-034 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Envoy は、高性能エッジ / ミドル / サービスプロキシです。特定のタイムアウトが同じ間隔で発生すると、Envoy がクラッシュします。クラッシュは、以下の条件に該当する場合に発生します。1. Hedge_on_per_try_timeout が有効である、2. per_try_idle_timeout が有効である (構成でのみ実行可能)、3. ヘッダーまたは構成により、per-try-timeout が有効であり、その値が等しい、または per_try_idle_timeout のバックオフ間隔内である。この問題は、リリース済みの 1.29.1、1.28.1、1.27.3、1.26.7 で対処されています。
    ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-23322)

  - Envoy は、高性能エッジ / ミドル / サービスプロキシです。正規表現はすべてのリクエストに対してコンパイルされるため、このような matcher で複数のルートが構成されている場合、CPU 使用率が高くなり、リクエストのレイテンシが長くなる可能性があります。この問題は、リリース済みの 1.29.1、1.28.1、1.27.3、1.26.7 で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-23323)

  - Envoy は、高性能エッジ / ミドル / サービスプロキシです。外部認証は、ダウンストリーム接続によってバイパスされる可能性があります。ダウンストリームクライアントは、failure_mode_allow が true に設定されているときの ext_authz チェックを回避して、無効な gRPC リクエストを ext_authz に強制的に送信する可能性があります。この問題は、リリース済みの 1.29.1、1.28.1、1.27.3、1.26.7 で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-23324)

  - Envoy は、高性能エッジ / ミドル / サービスプロキシです。OS でサポートされていないアドレスタイプを使用すると、Envoy がプロキシプロトコルでクラッシュします。Envoy は、クライアントが IPv6 アドレスを提示するリクエストを受信すると、IPv6 が無効で、リスナー構成でプロキシプロトコルが有効になっているホストでクラッシュの影響を受けやすくなっています。チェーン全体が IPv4 を介して接続されている場合でも、クライアントがターゲットサーバーに IPv6 アドレスを提示することは有効です。この問題は、リリース済みの 1.29.1、1.28.1、1.27.3、1.26.7 で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。
    (CVE-2024-23325)

  - Envoy は、高性能エッジ / ミドル / サービスプロキシです。PPv2 がリスナーと後続のクラスターの両方で有効になっている場合、Envoy インスタンスはアップストリーム PPv2 ヘッダーの作成を試行するとセグメンテーション違反になります。
    これは、ダウンストリームリクエストのコマンドタイプが LOCAL で、プロトコルブロックがない場合に発生します。
    この問題は、リリース済みの 1.29.1、1.28.1、1.27.3、1.26.7 で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-23327)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : ecs-service-connect-agent (ALASECS-2024-034)

high Nessus プラグイン ID 191659

バージョン 1.0