Amazon Linux 2023perl-Mojolicious、perl-Test-MojoALAS2023-2025-985

high Nessus プラグイン ID 237678

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-985 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Perl 用の Mojolicious バージョン 0.999922 から 9.39 は、デフォルトで HMAC セッションシークレットとして、ハードコードされた文字列またはアプリケーションのクラス名を使用します。

これらの予測可能なデフォルトシークレットが悪用されて、セッションクッキーが偽造される可能性があります。秘密を知っているまたは推測する攻撃者が、セッションクッキーのために有効な HMAC 署名を計算し、他のユーザーのセッションを改ざんしたりハイジャックしたりする可能性があります。CVE-2024-58134

Perl 用の 7.28 から 9.39 のMojolicious バージョンは、脆弱な HMAC セッションシークレットを生成する可能性があります。

mojo 生成アプリツールを使用してデフォルトのアプリを作成するとき、安全でない rand() 関数を使用してアプリケーションの構成ファイルに弱いシークレットが書き込まれ、アプリケーションのセッションの整合性を認証および保護するために使用されます。これにより、攻撃者がアプリケーションのセッションキーをブルートフォースできる可能性があります。++6330CVE-2024-58135

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。