リモート Azure Linux 3.0 ホストにインストールされている containerd / cri-tools / docker-buildx / docker-compose / moby-containerd-cc のバージョンは、 より前です。したがって、CVE-2023-47108 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.37.0 およびバージョン 0.46.0より前の で起動されている grpc Unary Server Interceptor は、標準装備の grpc Unary Server Interceptor により、無制限のカーディナリティを持つラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。他の方法は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことにより、grpc メトリクスインストルメンテーションを無効にすることです。
    (CVE-2023-47108)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 のセキュリティ更新containerd/cri-tools/docker-buildx/docker-compose/moby-containerd-ccCVE-2023-47108]

high Nessus プラグイン ID 215286

バージョン 1.5