Amazon Linux 2 : amazon-cloudwatch-agent (ALAS-2025-2904)

medium Nessus プラグイン ID 240451

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている amazon-cloudwatch-agent のバージョンは、1.300055.3-1 より前です。したがって、ALAS2-2025-2904 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

tokenizer は、solidus 文字 (/) で終わる、引用符で囲まれていない属性値を持つタグを自己終了であると誤って解釈します。Tokenizer を直接使用している場合、このようなタグが誤って自己終了としてマークされる可能性があります。また、Parse 機能を使用している場合、これにより、DOM 構築中にこのようなタグに続くコンテンツが誤ったスコープに配置される可能性があります。ただし、これはタグが外部コンテンツにある場合のみ発生します (例:
<math>、<svg> などのコンテキスト)。

分析後、2025-22872 は Amazon Linux 2 または Amazon Linux 2023 の docker または containerd にセキュリティリスクをもたらさないと判断しました。govulncheck を使用するソースコード分析により、これらのパッケージには脆弱なコードが含まれていないことが確認されています。その結果、AL2 と AL2023 のこれらの特定のパッケージにはセキュリティパッチが必要ありません。(CVE-2025-22872)

ExtKeyUsageAny を含む VerifyOptions.KeyUsages で Verify を呼び出すと、ポリシーの検証が意図せず無効になりました。これは、ポリシーグラフを含む証明書チェーンにのみ影響する、かなり珍しいものです。
(CVE-2025-22874)

Proxy-Authorization および Proxy-Authenticate ヘッダーがクロスオリジンリダイレクトに残り、機密情報を漏洩する可能性があります。(CVE-2025-4673)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。