リモートのMiracleLinux 9ホストには、AXSA:2023-6651:02アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * golang: html/template: JavaScript の空白の不適切な処理 (CVE-2023-24540)
      * net/http、golang.org/x/net/http2: HPACK デコーディングで 2 次複雑度を回避 (CVE-2022-41723)
      * golang: crypto/tls: 大きなハンドシェイクレコードにより、パニックを引き起こす可能性がある (CVE-2022-41724)
      * golang: net/http、mime/multipart: 過剰なリソース消費によるサービス拒否 (CVE-2022-41725)
      * golang: net/http、net/textproto: 過剰なメモリ割り当てによるサービス拒否 (CVE-2023-24534)
      * golang: net/http、net/textproto、mime/multipart: 過剰なリソース消費によるサービス拒否 (CVE-2023-24536)
      * golang: html/template: バックティックが文字列区切りとして扱われない (CVE-2023-24538)
      * golang: html/template: CSS 値の不適切なサニタイズ (CVE-2023-24539)
      * golang: html/template: 空の HTML 属性の不適切な処理 (CVE-2023-29400)
      * golangnet/[http:]http:ホストヘッダーの不十分なサニタイズCVE-2023-29406

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 9containernetworking-plugins-1.3.0-4.el9AXSA:2023-6651:02

critical Nessus プラグイン ID 292526

バージョン 1.1