リモートの Azure Linux 3.0 ホストにインストールされている c-ares/fluent-bit/grpc/nodejs のバージョンは、テスト済みのバージョンより前の です。したがって、CVE-2023-31130 のアドバイザリに記載されている脆弱性の影響を受けます。

  - c-ares は、非同期リゾルバーライブラリです。ares_inet_net_pton() には、特定の ipv6 アドレスに対するバッファアンダーフローの脆弱性があり、特に 0::00:00:00/2 が問題を引き起こすことが判明しました。C-ares は、設定の目的で内部的にのみこの関数を使用します。そのため、管理者は ares_set_sortlist() を介してこのようなアドレスを設定する必要があります。ただし、ユーザーは他の目的でares_inet_net_pton()を外部で使用するため、より深刻な問題に脆弱である可能性があります。この問題は 1.19.1で修正されました。(CVE-2023-31130)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 のセキュリティ更新c-ares /fluent-bit / grpc / nodejsCVE-2023-31130]

medium Nessus プラグイン ID 234060

バージョン 1.1