Azure Linux 3.0 セキュリティ更新ghCVE-2024-53859

high Nessus プラグイン ID 296068

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Azure Linux 3.0 ホストにインストールされている gh のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2024-53859 のアドバイザリに記載されている脆弱性の影響を受けます。

- go-ghは、コマンドラインから「gh」ユーティリティおよびGitHub APIとやり取りするためのGoモジュールです。セキュリティの脆弱性が「go-gh」で確認されています。これにより、コード空間内で、GitHub ホスト向けの認証トークンが非 GitHub ホストに漏洩する可能性があります。「go-gh」は、関連するホストに応じて異なる環境変数からの認証トークンを取得します 1. GitHub.com および ghe.com 用の「GITHUB_TOKEN」、「GH_TOKEN」、および 2. GitHub Enterprise Server 用の「GITHUB_ENTERPRISE_TOKEN」、「GH_ENTERPRISE_TOKEN」。バージョン `2.11.1` より前では、「auth.TokenForHost」は、コード空間内にある場合、GitHub.com または ghe.com 以外のホストの「GITHUB_TOKEN」環境変数からトークンをソースする可能性がありました。バージョンでは、「auth.TokenForHost2.11.1」は、GitHub.com または ghe.com ホストの「GITHUB_TOKEN」環境変数からのトークンのみをソースします。悪用に成功すると、認証トークンが意図しないホストに送信される可能性があります。この問題はバージョン 2.11.1 で対処されており、すべてのユーザーはアップグレードすることが推奨されます。ユーザーは、認証トークンを再生成し、個人のセキュリティログおよびアカウントまたはエンタープライズに関連するアクションに関して関連する監査ログを確認することも推奨されます。CVE-2024-53859

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。