リモート Azure Linux 3.0 ホストにインストールされている python-werkzeug のバージョンは、テスト済みバージョン より前です。したがって、CVE-2024-49767 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Werkzeug は、Web サーバーゲートウェイインターフェイスの Web アプリケーションライブラリです。「multipart/form-data」リクエストを解析するために 3.0.6 以前の Werkzeug のバージョンに対応する「werkzeug.formparser.MultiPartParser」を使用するアプリケーション例すべての Flask アプリケーションは、比較的単純だが効果的なリソース枯渇サービス拒否に脆弱です。可能性があります。特別に細工されたフォーム送信リクエストにより、パーサーがメインメモリでアップロードサイズの 3 8 倍を割り当て、ブロックする可能性があります。上限はありません。 1 G ビット/秒の 1 回のアップロードにより、60 秒未満で 32 GB の RAM を消費することができます。Werkzeug バージョン 3.0.6 では、この問題が修正されます。CVE-2024-49767

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新python-werkzeugCVE-2024-49767

medium Nessus プラグイン ID 215390

バージョン 1.1