Linux Distros のパッチ未適用の脆弱性: CVE-2022-36114

medium Nessus プラグイン ID 224855

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Cargo は rust プログラミング言語用のパッケージマネージャーです。Cargo が圧縮アーカイブから抽出されたデータの量を制限していないことが判明しました。攻撃者はそのサイズよりもはるかに多くのデータを抽出する特別に細工されたパッケージ (zip 爆弾としても知られる) を代替レジストリにアップロードし、パッケージをダウンロードするために Cargo を使用するマシンのディスクスペースを消費させる可能性があります。注意：ビルドスクリプトと手続きマクロにより、Cargo ではビルド時にコード実行が可能です。このアドバイザリの脆弱性により、追跡が困難な方法で、起こり得る被害の一部を実行することが可能です。ビルドスクリプトとプロシージャマクロで同じ攻撃を実行する可能性があるため、攻撃から保護したい場合は、依存関係を引き続き信頼できるものにしておく必要があります。この脆弱性は、Cargo のすべてのバージョンに存在します。Rust 1.64は、9 月 22 日にリリースされ、これに対する修正が含まれます。この脆弱性は、悪意のあるビルドスクリプトまたはプロシージャマクロが影響を与える点では、より限定的なものであるため、セキュリティ修正をバックポートする Rust ポイントリリースを公開しないことを決定しました。Rust 1.63.0のパッチファイル wg-security-response リポジトリで利用可能であり、独自のツールチェーンを構築しているユーザーが利用できます。
代替レジストリのユーザーに対して、ダウンロードするパッケージに注意し、プロジェクトに信頼できる依存関係のみを含めるよう推奨します。注意:これらの脆弱性が修正されても、ビルドスクリプトと手続き型マクロのおかげで、Cargo は設計によりビルド時に任意のコード実行を許可します。つまり、これらの脆弱性に関係なく、悪意のある依存関係が損害を引き起こす可能性があります。crates.io 何年も前にこの種のパッケージを拒否するためにサーバー側のチェックを実装しましたが、これらの脆弱性を悪用するパッケージが crates.io 上に存在しません。ただし、ビルドスクリプトと手続き型マクロに関する同じ懸念がここでも当てはまるため、crates.io ユーザーは依存関係を選択する際に注意する必要があります。
(CVE-2022-36114)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2022-36114

プラグインの詳細

深刻度: Medium

ID: 224855

ファイル名: unpatched_CVE_2022_36114.nasl

バージョン: 1.4

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2025/3/5

更新日: 2026/9/2

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus