Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - h2o はオープンソースの http サーバーです。「8c0eca3」コミットより前のコードでは、h2o が初期化されていないメモリへのアクセスを試行する可能性があります。特定の順序で QUIC フレームを受信する場合、h2o の HTTP/3 サーバー側の実装が誤って誘導され、初期化されていないメモリを受信した HTTP/3 フレームとして扱う可能性があります。h2o がリバースプロキシとして使用されている場合、攻撃者がこの脆弱性を悪用して、攻撃者またはサードパーティが制御するバックエンドサーバーに h2o の内部状態を送信する可能性があります。また、クライアントから送信されたトラフィックを反映する HTTP エンドポイントがある場合、攻撃者がそのリフレクターを使用して、h2o の内部状態を取得する可能性があります。この内部状態には、暗号化されていない形式の他の接続のトラフィックや TLS セッションチケットが含まれます。この脆弱性は、コミット 93af138 と d1f0f65 の間で、HTTP/3 サポートを備えた h2o サーバーにあります。h2o のリリースされたバージョンは、どれもこの脆弱性の影響を受けません。既知の回避策はありません。HTTP/3 を使用している未リリースのバージョンの h2o のユーザーは、直ちにアップグレードすることが推奨されます。(CVE-2021-43848)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2021-43848

medium Nessus プラグイン ID 258526

バージョン 1.5