Azure Linux 3.0 セキュリティ更新corednsCVE-2024-22189

high Nessus プラグイン ID 215947

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている coredns のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2024-22189 のアドバイザリに記載されている脆弱性の影響を受けます。

- quic-go は Go の QUIC プロトコルの実装です。バージョン 0.42.0より前のバージョンでは、攻撃者が、古い接続 ID を廃止する多数の「NEW_CONNECTION_ID」フレームを送信することで、ピアのメモリを使い果たす可能性があります。受信者は、「RETIRE_CONNECTION_ID」フレームで各終了フレームに応答することになっています。攻撃者は、ピアの輻輳ウィンドウを縮小し (受信したパケットを選択的に認識すること)、ピアの RTT 推定値を操作することで、受信者がこれらの「RETIRE_CONNECTION_ID」フレームの大部分を送信するのを防ぐことができます。バージョン 0.42.0 には、この問題に対するパッチが含まれています。利用可能な既知の回避策はありません。(CVE-2024-22189)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。