リモートの Azure Linux 3.0 ホストにインストールされている cmake /fluent-bit / nghttp2 / nodejs / nodejs18 のバージョンは、テスト済みのバージョン より前です。したがって、CVE-2024-28182 のアドバイザリに記載されている脆弱性の影響を受けます。

  - nghttp2 は、ハイパーテキスト転送プロトコルバージョン 2 の C での実装です。バージョン 1.61.0 より前の nghttp2 ライブラリは、HPACK コンテキストの同期を保つためにストリームがリセットされた後でも、無制限の数の HTTP/2 CONTINUATION フレームを読み取り続けます。これにより、HPACK ストリームをデコードするための過剰な CPU 使用率が発生します。nghttp2 v1.61.0 は、ストリームごとに受け入れる CONTINUATION フレームの数を制限することで、この脆弱性を緩和しています。
    この脆弱性には回避策がありません。(CVE-2024-28182)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新cmake /fluent-bit / nghttp2 / nodejs / nodejs18CVE-2024-28182

medium Nessus プラグイン ID 215888

バージョン 1.1