Amazon Linux 2 : nerdctl (ALAS-2025-2863)

medium Nessus プラグイン ID 237482

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている nerdctl のバージョンは、2.0.5-1 より前です。したがって、ALAS2-2025-2863 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

net/http パッケージは、ベア LF で終了する無効なチャンクサイズの行を含むチャンク転送エンコーディングでデータを受け入れていました。チャンク拡張のベア LF を拡張の一部として不適切に解釈するサーバーまたはプロキシと併用される場合、リクエストスマグリングを引き起こす可能性があります。
(CVE-2025-22871)

tokenizer は、solidus 文字 (/) で終わる、引用符で囲まれていない属性値を持つタグを自己終了であると誤って解釈します。Tokenizer を直接使用している場合、このようなタグが誤って自己終了としてマークされる可能性があります。また、Parse 機能を使用している場合、これにより、DOM 構築中にこのようなタグに続くコンテンツが誤ったスコープに配置される可能性があります。ただし、これはタグが外部コンテンツにある場合のみ発生します (例:
<math>、<svg>　などのコンテキスト)。(CVE-2025-22872)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。