openSUSE 15 セキュリティ更新: etcd (SUSE-SU-2024:3656-1)

high Nessus プラグイン ID 209193

Language:

概要

リモートの openSUSE ホストに 1 つ以上のセキュリティ アップデートがありません。

説明

リモートの openSUSE 15 ホストには、SUSE-SU-2024:3656-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

バージョン 3.5.12 への更新:

セキュリティ修正:

- CVE-2018-16873: cmd/go でのリモートコマンド実行を修正しました (bsc#1118897)
- CVE-2018-16874: cmd/go でディレクトリトラバーサルを修正しました (bsc#1118898)
- CVE-2018-16875: crypto/x509 で CPU のサービス拒否を修正しました (bsc#1118899)
- CVE-2018-16886: RBAC および client-cert-auth が有効な場合の不適切な認証の問題を修正しました (bsc#1121850)
- CVE-2020-15106: decodeRecord メソッドのパニックを修正しました (bsc#1174951)
- CVE-2020-15112: エントリインデックスの不適切なチェックを修正しました (bsc#1174951)
- CVE-2021-28235: デバッグ機能による情報漏洩を修正しました (bsc#1210138)
- CVE-2022-41723: net/http における HPACK デコーディングの 2 次複雑度を修正しました (bsc#1208270、bsc#1208297)
- CVE-2023-29406: go net/http のホストヘッダーの不十分なサニタイズを修正しました (bsc#1213229)
- CVE-2023-47108: otelgrpc の DoS 脆弱性を修正しました (bsc#1217070)
- CVE-2023-48795: crypto/ssh で ssh チャネル整合性を壊すプレフィックス切り捨て (別名 Terrapin 攻撃) を修正しました (bsc#1217950、bsc#1218150)

その他の変更:

- systemd サービスに強化策を追加しました (bsc#1181400)
- 静的 /tmp ファイルの問題を修正しました (bsc#1199031)
- 開始しない systemd サービスを修正しました (bsc#1183703)

全変更ログ:

https://github.com/etcd-io/etcd/compare/v3.3.1...v3.5.12

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受ける etcd パッケージや etcdctl パッケージを更新してください。

参考資料

https://bugzilla.suse.com/1095184

https://bugzilla.suse.com/1118897

https://bugzilla.suse.com/1118898

https://bugzilla.suse.com/1118899

https://bugzilla.suse.com/1121850

https://bugzilla.suse.com/1174951

https://bugzilla.suse.com/1181400

https://bugzilla.suse.com/1183703

https://bugzilla.suse.com/1199031

https://bugzilla.suse.com/1208270

https://bugzilla.suse.com/1208297

https://bugzilla.suse.com/1210138

https://bugzilla.suse.com/1213229

https://bugzilla.suse.com/1217070

https://bugzilla.suse.com/1217950

https://bugzilla.suse.com/1218150

https://lists.suse.com/pipermail/sle-updates/2024-October/037265.html

https://www.suse.com/security/cve/CVE-2018-16873

https://www.suse.com/security/cve/CVE-2018-16874

https://www.suse.com/security/cve/CVE-2018-16875

https://www.suse.com/security/cve/CVE-2018-16886

https://www.suse.com/security/cve/CVE-2020-15106

https://www.suse.com/security/cve/CVE-2020-15112

https://www.suse.com/security/cve/CVE-2021-28235

https://www.suse.com/security/cve/CVE-2022-41723

https://www.suse.com/security/cve/CVE-2023-29406

https://www.suse.com/security/cve/CVE-2023-47108

https://www.suse.com/security/cve/CVE-2023-48795

プラグインの詳細

深刻度: High

ID: 209193

ファイル名: suse_SU-2024-3656-1.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

公開日: 2024/10/17

更新日: 2024/10/18

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Medium

基本値: 6.8

現状値: 5.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2018-16886

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 8.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

CVSS スコアのソース: CVE-2021-28235

CVSS v4

リスクファクター: High

Base Score: 8.9

Threat Score: 8.9

Threat Vector: CVSS:4.0/E:P

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVSS スコアのソース: CVE-2023-48795

脆弱性情報

CPE: cpe:/o:novell:suse_linux:15

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2024/10/16

脆弱性公開日: 2018/12/13

参照情報

CVE: CVE-2018-16873, CVE-2018-16874, CVE-2018-16875, CVE-2018-16886, CVE-2020-15106, CVE-2020-15112, CVE-2021-28235, CVE-2022-41723, CVE-2023-29406, CVE-2023-47108, CVE-2023-48795

IAVA: 2024-A-0236

SuSE: SUSE-SU-2024:3656-1