リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:1456 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  protojson.Unmarshal 関数が、特定の形式の無効な JSON のマーシャリングを解除する際に無限ループに陥る可能性があります。この状態は、google.protobuf.Any 値を含むメッセージにアンマーシャリングしたとき、または UnmarshalOptions.DiscardUnknown オプションが設定されているときに発生する可能性があります。(CVE-2024-24786)

  - jose パッケージは、Javascript オブジェクト署名および暗号化標準セットの実装を提供することを目指しています。攻撃者は、Decrypt や DecryptMulti による解凍の際に、大量のメモリと CPU を使用させる圧縮データを含んだ JWE を送信する可能性があります。解凍されたデータが 250kB または圧縮サイズの 10x のいずれか大きい方を超える場合、これらの関数はエラーを返すように修正されました。この脆弱性はバージョン 4.0.1、3.0.3、および 2.6.3 でパッチが適用されています。(CVE-2024-28180)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8 / 9 : OpenShift Container Platform 4.13.38 (RHSA-2024:1456)

medium Nessus プラグイン ID 192605

バージョン 1.2