Azure Linux 3.0 セキュリティ更新azure-iot-sdk-cCVE-2024-29195

medium Nessus プラグイン ID 233164

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモート Azure Linux 3.0 ホストにインストールされている azure-iot-sdk-c のバージョンは、テスト済みのより前のです。したがって、CVE-2024-29195 のアドバイザリに記載されている脆弱性の影響を受けます。

- azure-c-shared-utility は、Azure Cloud Services への AMQP/MQTT 通信用の C ライブラリです。このライブラリは、IoT Hub および IoT Hub デバイス間の通信のために、Azure IoT C SDK によって使用される可能性があります。攻撃者は、Azure C SDK のバッファ長パラメーターを悪用することで、パラメーターチェックメカニズムの脆弱性により、整数ラップアラウンド、割り当て不足、またはヒープバッファオーバーフローを引き起こし、リモートコードの実行を引き起こす可能性があります。RCEの要件は、1.不正な形式のペイロードがIoTハブサービスを介してデバイスに送信される可能性のある侵害されたAzureアカウント、2.IoTハブサービスの最大メッセージペイロード制限の128KBを通過、3.リモートコードでコード空間を上書きする機能です。コミットで修正済み https://github.com/Azure/azure-c-shared-utility/commit/1129147c38ac02ad974c4c701a1e01b2141b9fe2.(CVE-2024-29195

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。