Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2025-968)

high Nessus プラグイン ID 235902

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-968 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

net/http パッケージは、ベア LF で終了する無効なチャンクサイズの行を含むチャンク転送エンコーディングでデータを受け入れていました。チャンク拡張のベア LF を拡張の一部として不適切に解釈するサーバーまたはプロキシと併用される場合、リクエストスマグリングを引き起こす可能性があります。
(CVE-2025-22871)

Expr は Go の表現言語および表現評価です。バージョン 1.17.0 より前では、Expr 式パーサーに制限されない入力文字列が与えられた場合、文字列全体をコンパイルしようとし、式の各部分に対して Abstract Syntax Tree (AST) ノードを生成しようとします。入力サイズが制限されていないシナリオでは、悪質な、または不注意による非常に大きな式によって、パーサーが巨大な AST を構築するときにメモリを過剰に消費する可能性があります。これは、最終的に過剰なメモリ使用とプロセスのメモリ不足 (OOM) クラッシュにつながる可能性があります。この問題は比較的一般的ではなく、入力サイズに制限がない、つまり式の長さが任意に大きくなる場合にのみ発生します。入力がバインドまたは検証される一般的なユースケースでは、この問題は発生しません。この問題は Expr ライブラリの最新バージョンでパッチされています。この修正により、AST ノードの数と解析中のメモリ使用率にコンパイル時間の制限が導入され、1 つの式によるリソースの枯渇が防ぐことができます。ユーザーは Expr バージョン 1.17.0 以降にアップグレードする必要があります。このリリースには新しいノードバジェットとメモリ制限のセーフガードが含まれているためです。v1.17.0 へアップグレードすることで、非常に深い式または大きな式が検出され、コンパイル中に安全に中止され、OOM 状態が回避されるようになります。すぐにアップグレードできないユーザーに対しては、解析する前に入力サイズ制限を適用することが推奨される回避策です。実際には、これはアプリケーションが受け入れる式文字列の長さを検証したり制限したりすることを意味します。たとえば、式に対して最大文字数 (またはノード) の許容数を設定し、この制限を超える入力を拒否または切り捨てます。長さ無制限の式がパーサーに決して渡されないようにすることで、パーサーが異常に大きい AST を構築することを防止し、潜在的なメモリ枯渇を回避できます。つまり、パッチのないときのセーフガードとして入力サイズを事前検証して上限に設定します。
(CVE-2025-29786)

golang-jwt は、JSON Web Tokens の Go 実装です。5.2.2 および 4.5.2 より前では、関数 parse.ParseUnverified は、(strings.Split への呼び出しを介して) その引数 (信頼できないデータ) をピリオドで分割します。結果として、ベアラーとその後の連続する多数のピリオド文字で構成される Authorization ヘッダーを持つ、悪意のあるリクエストを受けた場合、その関数への呼び出しによって O(n) バイトの調整 (ここで、n は関数の引数の長さを表します) への約 16 の定数係数の割り当てが生じます。この問題は 5.2.2 および 4.5.2 で修正されています。(CVE-2025-30204)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。