Amazon Linux 2: docker (ALASDOCKER-2024-045)

critical Nessus プラグイン ID 206325

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている docker のバージョンは、25.0.3-1より前のものです。したがって、ALAS2DOCKER-2024-045 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

最初のドメインとのサブドメインの一致または完全一致ではないドメインへの HTTP リダイレクトに従うと、http.Client が Authorization や Cookie などの機密性の高いヘッダーを転送しません。たとえば、foo.com から www.foo.com へのリダイレクトは Authorization ヘッダーを転送しますが、bar.com へのリダイレクトは転送しません。悪意を持って作成された HTTP リダイレクトにより、機密性の高いヘッダーが予期せず転送される可能性があります。(CVE-2023-45289)

さまざまな Is メソッド (IsPrivate、IsLoopback など) が、IPv4 にマッピングされた IPv6 アドレスに対して期待通りに動作せず、従来の IPv4 では true を返すアドレスに対して false を返していました。
(CVE-2024-24790)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。