Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は、オープンソースの非同期イベント駆動型ネットワークアプリケーションフレームワークです。バージョン 4.1.77.Final より前のパッケージ「io.netty:netty-codec-http」には CVE-2021-21290、に対する不十分な修正が含まれています。
    Netty のマルチパートデコーダーが使用されている場合、ディスクへのアップロードの一時保存が有効になっていると、ローカルシステムの一時ディレクトリを介してローカル情報漏洩が発生する可能性があります。これは、Java バージョン 6 以前で動作するアプリケーションにのみ影響します。さらに、この脆弱性は、Unix のようなシステムで実行されているコード、非常に古いバージョンの Mac OSX と Windows で動作するコードにも、すべてのユーザー間でシステムの一時ディレクトリを共有するため、影響します。バージョン 4.1.77.Final には、この脆弱性に対するパッチが含まれています。回避策として、JVM の起動時に独自の「java.io.tmpdir」を指定するか、DefaultHttpDataFactory.setBaseDir(...) を使用して、現在のユーザーのみ読み取り可能なものにディレクトリを設定します。(CVE-2022-24823)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-24823

medium Nessus プラグイン ID 252709

バージョン 1.11