Azure Linux 3.0 セキュリティ更新opaCVE-2025-46569

high Nessus プラグイン ID 295644

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている opa のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2025-46569 のアドバイザリに記載されている脆弱性の影響を受けます。

- Open Policy Agent (OPA) は、オープンソースの汎用ポリシーエンジンです。バージョン 1.4.0より前のバージョンでは、サーバーとして実行するとき、OPA がドキュメントの読み取りおよび書き込みのために HTTP Data API を漏洩します。Data API 経由で仮想ドキュメントをリクエストすると、ポリシー評価が必要となります。このとき、単一のデータドキュメント参照を含む Rego クエリが、リクエストされたパスから構築されます。このクエリはその後、ポリシーの評価に使用されます。構築されたクエリに Rego コードを注入する方法で、HTTP リクエストパスが細工される可能性があります。評価結果は、リクエストされたパスによって生成されたもの以外のデータを返すようにすることはできませんが、このパスは間違ってダイレクトされる可能性があり、注入された Rego コードはクエリを成功または失敗させるように細工されることができます。 oracle 攻撃が発生する可能性があり、場合によっては、誤ったポリシー決定結果が発生する可能性があります。さらに、挿入されたコードは計算負荷がかかるように細工され、サービス拒否DoS攻撃を引き起こす可能性があります。この問題には、バージョン 1.4.0 でパッチが適用されています。回避策には、本番上の理由で必要でない限り、「localhost」および/または信頼できるネットワークに制限されているOPAのRESTful APIにネットワークでアクセスすることが含まれます。CVE-2025-46569

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。