リモート Azure Linux 3.0 ホストにインストールされている rpm-ostree のバージョンは、 より前のバージョンです。したがって、CVE-2021-32714 のアドバイザリに記載されている脆弱性の影響を受けます。

  - hyper は Rust 用の HTTP ライブラリです。 0.14.10以前のバージョンでは、hyper の HTTP サーバーおよびクライアントコードに欠陥があり、大きすぎるチャンクサイズをデコードする際に整数オーバーフローが発生する可能性があります。これにより、データが損失される可能性があります。また、hyper より大きなチャンクサイズを許可する Upstream HTTP プロキシと組み合わせて使用される場合は、リクエストスマグリングまたはデ同期攻撃が発生する可能性があります。この脆弱性は、バージョン 0.14.10 でパッチが適用されています。2 つの回避策が考えられます。One May は、「Transfer-Encoding」ヘッダーを含むリクエストを手動で拒否するか、64 ビットの符号なし整数に収まるより大きなサイズの「Transfer-Encoding」チャンクサイズを上流プロキシが拒否するようにします。CVE-2021-32714

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新rpm-ostreeCVE-2021-32714]

critical Nessus プラグイン ID 295543

バージョン 1.1