リモート Azure Linux 3.0 ホストにインストールされている cert-manager / containerd / containerd2 / containerized-data-importer / dcos-cli / influxdb のバージョンは、テスト済みバージョンより前です。したがって、CVE-2025-27144 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Go JOSEは、JSON Web EncryptionJWE、JSON Web SignatureJWS、JSON Web TokenJWT標準など、GoにおけるJavascriptオブジェクト署名および暗号化標準の実装を提供します。バージョン 4.0.5 より前の 4.x ブランチのバージョンでは、コンパクトな JWS または JWE 入力を解析する際に、Go JOSE が過剰なメモリを使用する可能性があります。コードは、strings.Split(token, .) を使用して JWT トークンを分割しました。これは、多数の「.」文字がある悪意のある細工されたトークンを処理するとき、過剰なメモリ消費に対して脆弱です。攻撃者がこれを悪用して多数の無効な形式のトークンを送信し、メモリ枯渇とサービス拒否を引き起こす可能性があります。バージョン 4.0.5 ではこの問題が修正されています。回避策として、アプリケーションは、Go JOSE に渡されるペイロードに過剰な数の「.」文字が含まれていないことを事前に検証できます。
    (CVE-2025-27144)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新cert-manager / containerd / containerd2 / containerized-data-importer / dcos-cli / influxdbCVE-2025-27144]

high Nessus プラグイン ID 233114

バージョン 1.1