リモートの Azure Linux 3.0 ホストにインストールされている azcopy / containerized-data-importer / cri-o / golang / moby-engine / prometheus / sriov-network-device- plugin のバージョンは、 より前の です。したがって、CVE-2022-41717 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新azcopy / containerized-data-importer / cri-o / golang / moby-engine / prometheus / sriov-network-device-pluginCVE-2022-41717

medium Nessus プラグイン ID 215496