したがって、ALAS2023-2024-697 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

    protojson.Unmarshal 関数が、特定の形式の無効な JSON のマーシャリングを解除する際に無限ループに陥る可能性があります。この状態は、google.protobuf.Any 値を含むメッセージにアンマーシャリングしたとき、または UnmarshalOptions.DiscardUnknown オプションが設定されているときに発生する可能性があります。(CVE-2024-24786)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : containerd、containerd-stress (ALAS2023-2024-697)

high Nessus プラグイン ID 205090

バージョン 1.1