リモート Azure Linux 3.0 ホストにインストールされている cert-manager / containerd / containerized-data-importer / cri-o / dcos-cli のバージョンは、テスト済みバージョンより前です。したがって、CVE-2024-28180 のアドバイザリに記載されている脆弱性の影響を受けます。

  - jose パッケージは、Javascript オブジェクト署名および暗号化標準セットの実装を提供することを目指しています。攻撃者は、Decrypt や DecryptMulti による解凍の際に、大量のメモリと CPU を使用させる圧縮データを含んだ JWE を送信する可能性があります。解凍されたデータが 250kB または圧縮サイズの 10x のいずれか大きい方を超える場合、これらの関数はエラーを返すように修正されました。この脆弱性はバージョン 4.0.1、3.0.3、および 2.6.3 でパッチが適用されています。(CVE-2024-28180)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新cert-manager / containerd / containerized-data-importer / cri-o / dcos-cliCVE-2024-28180]

medium Nessus プラグイン ID 215934

バージョン 1.1