したがって、ALAS2023-2024-636 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ... より前の Bouncy Castle Java Cryptography API で、問題が発見されました。

    注意: https://github.com/bcgit/bc-java/issues/1635NOTE:
    https://www.bouncycastle.org/latest_releases.htmlDEBIANBUG: [1070655] (CVE-2024-29857)

    BC 1.78 より前の Bouncy Castle Java Cryptography API で、問題が発見されました。BCJSSE でエンドポイント識別が有効化になっている場合、(HttpsURLConnection で発生するように) 明示的なホスト名なしで SSL ソケットが作成されると、場合によっては、DNS 解決された IP アドレスに対してホスト名の検証が実行され、DNS ポイズニングが発生する可能性があります。(CVE-2024-34447)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023: bouncycastle、bouncycastle-javadoc、bouncycastle-mail (ALAS2023-2024-636)

medium Nessus プラグイン ID 200264

バージョン 1.1