リモートの Azure Linux 3.0 ホストにインストールされている c-ares/fluent-bit/grpc/nodejs のバージョンは、テスト済みのバージョンより前の です。したがって、CVE-2023-31147 のアドバイザリに記載されている脆弱性の影響を受けます。

  - c-ares は、非同期リゾルバーライブラリです。/dev/urandom または RtlGenRandom() が使用できない場合、c-ares は rand() を使用して DNS クエリ ID に使用する乱数を生成します。これは CSPRNG ではなく、また srand() によってシードされないため、予測可能な出力を生成します。乱数発生器からの入力は非コンパイラント RC4 実装にフィードされ、元の RC4 実装ほど強くない場合があります。広く利用されている arc4random() のような最新の OS 提供の CSPRNG を探す試みは行われません。この問題はバージョン 1.19.1で修正されています。(CVE-2023-31147)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 のセキュリティ更新c-ares /fluent-bit / grpc / nodejsCVE-2023-31147]

medium Nessus プラグイン ID 233335

バージョン 1.1