リモート Azure Linux 3.0 ホストにインストールされている containerd / cri-tools / docker-buildx / docker-compose / moby-containerd-cc のバージョンは、 より前です。したがって、CVE-2023-47108 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 のセキュリティ更新containerd/cri-tools/docker-buildx/docker-compose/moby-containerd-ccCVE-2023-47108

high Nessus プラグイン ID 215286

バージョン 1.1