Azure Linux 3.0 のセキュリティ更新c-ares /fluent-bit / grpc / nodejsCVE-2023-31147]
medium Nessus プラグイン ID 233335
Language:
概要
リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモートの Azure Linux 3.0 ホストにインストールされている c-ares/fluent-bit/grpc/nodejs のバージョンは、テスト済みのバージョンより前の です。したがって、CVE-2023-31147 のアドバイザリに記載されている脆弱性の影響を受けます。- c-ares は、非同期リゾルバーライブラリです。/dev/urandom または RtlGenRandom() が使用できない場合、c-ares は rand() を使用して DNS クエリ ID に使用する乱数を生成します。これは CSPRNG ではなく、また srand() によってシードされないため、予測可能な出力を生成します。乱数発生器からの入力は非コンパイラント RC4 実装にフィードされ、元の RC4 実装ほど強くない場合があります。広く利用されている arc4random() のような最新の OS 提供の CSPRNG を探す試みは行われません。この問題はバージョン 1.19.1で修正されています。(CVE-2023-31147)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 233335
ファイル名: azure_linux_CVE-2023-31147.nasl
バージョン: 1.1
タイプ: local
公開日: 2025/3/25
更新日: 2025/3/25
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 2.5
CVSS v2
リスクファクター: Medium
基本値: 6.4
現状値: 4.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2023-31147
CVSS v3
リスクファクター: Medium
基本値: 6.5
現状値: 5.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:microsoft:azure_linux:nodejs-devel, p-cpe:/a:microsoft:azure_linux:fluent-bit, p-cpe:/a:microsoft:azure_linux:c-ares, p-cpe:/a:microsoft:azure_linux:grpc-plugins, p-cpe:/a:microsoft:azure_linux:nodejs-debuginfo, p-cpe:/a:microsoft:azure_linux:fluent-bit-debuginfo, p-cpe:/a:microsoft:azure_linux:nodejs, x-cpe:/o:microsoft:azure_linux, p-cpe:/a:microsoft:azure_linux:python3-grpcio, p-cpe:/a:microsoft:azure_linux:fluent-bit-devel, p-cpe:/a:microsoft:azure_linux:c-ares-devel, p-cpe:/a:microsoft:azure_linux:c-ares-debuginfo, p-cpe:/a:microsoft:azure_linux:grpc, p-cpe:/a:microsoft:azure_linux:grpc-devel
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/AzureLinux/release, Host/AzureLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/3/11
脆弱性公開日: 2023/5/24
参照情報
CVE: CVE-2023-31147