概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。
説明
したがって、ALAS2023-2024-578 のアドバイザリに記載されている複数の脆弱性の影響を受けます。
- Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。バッファオーバーリードのバグにより、Squid は Squid HTTP メッセージ処理に対するサービス拒否攻撃に脆弱です。このバグは、Squid バージョン 6.5 で修正されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。
(CVE-2023-49285)
- Squid は、HTTP、HTTPS、FTP などをサポートする Web 用のキャッシングプロキシです。影響を受けるバージョンの squid は、メモリ解放後使用 (Use After Free) のバグの対象となり、Collapsed Forwarding でサービス拒否攻撃を引き起こす可能性があります。
collapsed_forwarding がオンに設定されている 3.5 から 5.9 までのすべてのバージョンの Squid に脆弱性があります。crushd_forwarding がオフの設定、または collapsed_forwarding ディレクティブのない設定には脆弱性はありません。このバグは、Squid バージョン 6.0.1 で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、squid.conf からすべての collapsed_forwarding 行を削除する必要があります。(CVE-2023-49288)
- Squid は、構造要素の不適切な処理のバグがあるため、HTTP および HTTPS クライアントに対するサービス拒否攻撃に脆弱です。(CVE-2023-5824)
- Squid は Web 用のキャッシングプロキシです。期限切れのポインター参照のバグのために、バージョン 6.6 より前の Squid は、キャッシュマネージャーのエラー応答に対するサービス拒否攻撃に脆弱です。この問題により、信頼できるクライアントが、Client Manager レポートのエラーページを生成するときにサービス拒否を実行する可能性があります。5.0.5 より前の Squid はテストされておらず、脆弱であると想定する必要があります。5.9 までのすべての Squid-5.x は脆弱です。6.5 までのすべての Squid-6.x は脆弱です。このバグは、Squid バージョン 6.6 で修正されています。さらに、この問題に対処する、安定版 (stable) リリース用のパッチが、Squid のパッチアーカイブにあります。回避策として、Squid のメインアクセスコントロールである「http_access deny manager」を使用してキャッシュマネージャーへのアクセスを防ぎます。(CVE-2024-23638)
- Squid は Web プロキシキャッシュです。バージョン 3.5.27 より前のバージョン 6.8から、Squid は、制御されない再帰のバグにより、HTTP Chunked デコーダーに対するサービス拒否攻撃に脆弱である可能性があります。この問題により、細工され、チャンクされ、エンコードされた HTTP メッセージを送信する際に、リモートの攻撃者がサービス拒否を引き起こす可能性があります。このバグは、Squid バージョン 6.8 で修正されています。さらに、この問題に対処する、安定版 (stable) リリース用のパッチが、Squid のパッチアーカイブにあります。この問題に対する回避策はありません。
(CVE-2024-25111)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
[dnf update squid --releasever 2023.4.20240401] を実行してシステムを更新してください。
プラグインの詳細
ファイル名: al2023_ALAS2023-2024-578.nasl
エージェント: unix
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:squid-debugsource, p-cpe:/a:amazon:linux:squid, p-cpe:/a:amazon:linux:squid-debuginfo, cpe:/o:amazon:linux:2023
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: Exploits are available