Linux Distros のパッチ未適用の脆弱性: CVE-2023-22497
critical Nessus プラグイン ID 226257
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- Netdata は、インフラストラクチャをリアルタイムで監視し、トラブルシューティングを行うためのオープンソースオプションです。各 Netdata Agent には、自動生成された MACHINE GUID があります。エージェントの初回起動時に生成され、ディスクに保存されるため、再起動や再起動後も持続します。Netdata Agent にアクセスできるユーザーは誰でもその MACHINE_GUID にアクセスできます。ストリーミングは、Netdata Agent が他の Netdata Agent（子）の親として機能することを可能にする機能であり、さまざまな機能（データ保持の強化、ML、ヘルスモニタリングなど）から子をオフロードします。これは、現在は親 Agent で処理できます。構成は「stream.conf」を通じて行われます。親側では、ユーザーは「stream.conf」で API キー（任意のランダム UUID が可能）を構成して、この API キーを使用するすべての子に共通の構成を提供し、各子の構成をカスタマイズする MACHINE GUID ごとの構成を提供します。これが実装される方法により、攻撃者は有効な MACHINE_GUID を API キーとして使用することが可能でした。これは、Netdata Agent（子）を信頼できないユーザーに漏えいしたすべてのユーザーに影響します。また、すべての子からデータを集約する Netdata Agent 親も同じユーザーに漏えいします。この問題は、Netdata エージェント v1.37（stable）および Netdata エージェント v1.36.0-409（nightly）で修正されています。回避策として、デフォルトでストリーミングを有効にしないでください。以前にこれを有効にしている場合は、無効にすることができます。受信者エージェントのポートへのアクセスを信頼できる子接続に制限することで、この脆弱性の影響を軽減できる場合があります。 （CVE-2023-22497）
Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。プラグインの詳細
深刻度: Critical
ID: 226257
ファイル名: unpatched_CVE_2023_22497.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: Misc.
公開日: 2025/3/5
更新日: 2025/3/5
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.0
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS スコアのソース: CVE-2023-22497
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 8.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
脆弱性公開日: 2023/1/14
参照情報
CVE: CVE-2023-22497