Amazon Linux 2: runc (ALASNITRO-ENCLAVES-2025-055)

high Nessus プラグイン ID 234976

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている runc のバージョンは、1.1.3-1 より前です。したがって、ALAS2NITRO-ENCLAVES-2025-055 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Go 1.17.12 および Go 1.18.4 より前の net/http の HTTP/1 クライアントで一部の無効な Transfer-Encoding ヘッダーを受け入れることにより、ヘッダーを無効として不適切に拒否することもできない中間サーバーと併用された場合、HTTP リクエストのスマグリングが発生します。CVE-2022-1705

Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数にある制御されていない再帰により、攻撃者が、深くネスト化された型または宣言を介してスタック枯渇によるパニックを引き起こすことが可能です。CVE-2022-1962

Golangのライブラリのencoding/pemにバッファオーバーフローの欠陥が見つかりました。この欠陥により、攻撃者は大きな PEM 入力5 MB 以上を使用することができ、Decode でスタックオーバーフローを引き起こし、可用性に損失をもたらします。CVE-2022-24675

golang.org/x/crypto/ssh に破損した暗号化アルゴリズムの欠陥が見つかりました。この問題により、SHA-2 に基づく署名アルゴリズムを拒否するサーバーに対する RSA キーによる認証に、クライアントが失敗し、攻撃者がサーバーをクラッシュさせ、可用性の損失を引き起こすことが可能です。CVE-2022-27191

golang encoding/xml に欠陥が見つかりました。深くネスト化された XML ドキュメントを解析する間に Decoder.Skip を呼び出すとき、スタック枯渇によってパニックが発生し、攻撃者がシステムの可用性に影響を与える可能性があります。
(CVE-2022-28131)

整数オーバーフローの欠陥が、Golang の crypto/elliptic ライブラリで見つかりました。この欠陥により、攻撃者は 32 バイトより長い細工されたスケーラー入力を使用することができ、 P256.ScalarMult または P256].ScalarBaseMult をパニックに陥らせ、可用性の損失を招く恐れがあります。CVE-2022-28327

runcは、OCI仕様に従ってLinux上でコンテナを作成および実行するためのCLIツールです。バージョン 1.1.2より前の runc でバグが見つかりました。「runc exec --cap」が空ではない継承可能な Linux プロセス機能を持つプロセスを作成し、非定型の Linux 環境を作成し、execve (2) 中に継承可能なファイル機能を持つプログラムが、これらの機能を許可された設定に引き上げてしまうことが可能でした。継承可能な設定には、コンテナの境界設定に含まれるよりも多くの機能は含まれていないため、このバグはコンテナセキュリティサンドボックスに影響を与えませんでした。このバグは runc 1.1.2で修正されました。この修正では、「runc exec --cap」の動作が変更されるため、実行されるプロセスに付与された追加機能 (「--cap」引数で指定) に継承可能な機能が含まれなくなります。さらに、「runc spec」が、作成されたサンプル OCI 指定 (「config.json」) ファイルで継承可能な機能を設定しないように変更されています。(CVE-2022-29162)

1.17.10 より前のおよび 1.18.x より前の 1.18.2 に不適切な権限割り当てがあります。ゼロ以外のフラグパラメーターで呼び出されると、Faccessat 関数が、ファイルがアクセス可能であると誤って報告する可能性があります。
(CVE-2022-29526)

Go 1.17.11 および Go 1.18.3 より前の crypto/tls のセッションチケットの Ticket_age_add のランダムでない値により、TLS ハンドシェイクを観察できる攻撃者が、セッション再開中にチケット時間を比較することで連続する接続を関連付けることができます。CVE-2022-30629

golang標準ライブラリであるio/fsに欠陥が見つかりました。大量のパスセパレーターを含むパス上で Glob を呼び出すと、スタック枯渇によりパニック問題が発生する可能性があります。これにより、攻撃者が可用性に影響を与える可能性があります。CVE-2022-30630

golangに欠陥が見つかりました。長さゼロの圧縮ファイルが大量に連結されているアーカイブで Reader.Read メソッドを呼び出すと、スタックの枯渇によりパニックが発生する可能性があります。CVE-2022-30631

golangに欠陥が見つかりました。大量のパスセパレーターを含むパス上で Glob を呼び出すと、スタック枯渇によりパニック問題が発生する可能性があります。これにより、攻撃者は可用性に影響を与える可能性があります。
(CVE-2022-30632)

Go 1.17.12 および Go 1.18.4 より前の entity/xml における Unmarshal の制御されない再帰により、攻撃者が、任意のフィールドタグを使用するネストされたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタックの枯渇によるパニックを引き起こす可能性があります。CVE-2022-30633

golangに欠陥が見つかりました。深くネスト化された構造を含むメッセージで Decoder.Decode を呼び出すとき、スタック枯渇によってパニックが発生し、攻撃者がシステムの可用性に影響を与える可能性があります。CVE-2022-30635

Go 1.17.12 および Go 1.18.4 より前の net/http のクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、ReverseProxy が発生しますクライアント IP を X-Forwarded-For ヘッダーの値として設定します。CVE-2022-32148

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。