リモート Azure Linux 3.0 ホストにインストールされている cloud-hypervisor-cvm/hvloader/kata-containers/kata-containers-cc/nodejs/openssl のバージョンは、 より前の です。したがって、CVE-2024-0727 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 問題のサマリー悪意のあるフォーマットされた PKCS12 ファイルを処理すると、OpenSSL がクラッシュし、サービス拒否攻撃につながる可能性があります。影響のサマリー信頼できないソースから PKCS12 フォーマットのファイルを読み込んでいるアプリケーションが突然終了する可能性があります。 PKCS12 形式のファイルには、証明書と鍵が含まれており、信頼できないソースからの場合があります。PKCS12 の仕様により、特定のフィールドを NULL にすることができますが、OpenSSL はこの場合を正しくチェックしません。これにより、NULL ポインター逆参照が発生し、OpenSSL がクラッシュする可能性があります。アプリケーションが、OpenSSL API を使用して信頼できないソースからの PKCS12 ファイルを処理する場合、そのアプリケーションはこの問題に対して脆弱になります。これに対して脆弱な OpenSSL API は次のとおりです。
    PKCS12_parse()、PKCS12_unpack_p7data()、PKCS12_unpack_p7encdata()、PKCS12_unpack_authsafes()、PKCS12_newpass()。SMIME_write_PKCS7() の同様の問題も修正しました。ただし、この関数はデータの書き込みに関連するため、セキュリティ上重要とは見なしません。3.2、3.1、3.0 の FIPS モジュールは、この問題の影響を受けません。(CVE-2024-0727)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新cloud-hypervisor-cvm/hvloader/cat-containers/cat-containers-cc/nodejs/opensslCVE-2024-0727]

medium Nessus プラグイン ID 215404

バージョン 1.3