RHEL 9: log4j (パッチ未適用の脆弱性)

medium Nessus プラグイン ID 199118

Language:

概要

リモート Red Hat 9 ホストは、修正されていない複数の脆弱性の影響を受けます。

説明

リモートの Redhat Enterprise Linux 9 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

- jetty-server: 引用された値のクッキー解析により、他のクッキーから値が抽出される可能性があります (CVE-2023-26049)

- Jetty は、java ベースの Web サーバーおよびサーブレットエンジンです。影響を受けるバージョンで、マルチパートをサポートするサーブレット (例:「@ MultipartConfig」で注釈付け) は、クライアントが名前はあるがファイル名がなく、コンテンツが非常に大きいパートを持つマルチパートリクエストを送信するとき、「HttpServletRequest.getParameter()」または「HttpServletRequest.getParts()」を呼び出すため、「OutOfMemoryError」を引き起こす可能性があります。これは、パーツのコンテンツ全体をディスクにストリーミングしなければならない「fileSizeThreshold=0」のデフォルト設定でも発生します。攻撃者のクライアントが大きなマルチパートリクエストを送信し、サーバーに「OutOfMemoryError」をスローさせる可能性があります。ただし、サーバーは「OutOfMemoryError」後に回復してサービスを継続できる場合があります -- これには時間がかかる場合があります。この問題には、バージョン 9.4.51、10.0.14 および 11.0.14でパッチが適用されています。ユーザーにアップグレードすることを推奨します。
アップグレードできないユーザーは、マルチパートパラメーター「maxRequestSize」を負でない値に設定する必要があるため、マルチパートコンテンツ全体が制限されます (ただし、メモリに読み込まれます)。
(CVE-2023-26048)

- ** 割り当て時にはサポートされていません ** Chainsaw または SocketAppender コンポーネントを 1.7 より前の JRE における Log4j 1.x と共に使用する場合、攻撃者が特別に細工した (つまり、深くネストされた) ハッシュマップまたはハッシュテーブル (どちらのログコンポーネントを使用しているかに応じて) を処理するログエントリを引き起こすことに成功すると、オブジェクトが逆シリアル化されたときに仮想マシンの利用可能なメモリが枯渇し、オブジェクトが逆シリアル化される際にサービス拒否が発生する可能性があります。この問題は、2 より前の Apache Log4j に影響します。影響を受けるユーザーは、Log4j 2.x に更新することが推奨されます。注意: この脆弱性の影響を受けるのは、メンテナーによるサポートが終了した製品のみです。
(CVE-2023-26464)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

ソリューション

ベンダーはこの脆弱性を認識していますが、解決策は提供されていません。修正ガイダンスについては、ベンダーにお問い合わせください。

プラグインの詳細

深刻度: Medium

ID: 199118

ファイル名: redhat_unpatched_log4j-rhel9.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2024/6/3

更新日: 2024/7/16

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus