リモートの Azure Linux 3.0 ホストにインストールされている c-ares/fluent-bit/grpc/nodejs/nodejs18/python-gevent のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2024-25629 のアドバイザリに記載されている脆弱性の影響を受けます。

  - c-ares は、非同期 DNS リクエスト用の C ライブラリです。「ares__read_line()」は、「/etc/resolv.conf」、「/etc/nsswitch.conf」、「HOSTALIASES」ファイル、また、1.27.0 より前の c-ares バージョンを使用している場合は「/etc/hosts」ファイルなどのローカル設定ファイルを解析するために使用されます。これらの構成ファイルのいずれかに、改行の最初の文字として埋め込まれた「NULL」文字が含まれている場合、特定のバッファの開始前にメモリの読み取りを試みることで、クラッシュが発生する可能性があります。この問題は、c-ares 1.27.0 で修正されています。
    既知の回避策はありません。(CVE-2024-25629)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新c-ares/fluent-bit/grpc/nodejs/nodejs18/python-geventCVE-2024-25629

medium Nessus プラグイン ID 215781

バージョン 1.2