Linux Distros のパッチ未適用の脆弱性: CVE-2021-4456

medium Nessus プラグイン ID 300179

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Perl 用の 0.24 より前の Net::CIDR が IP CIDR アドレスの先頭のゼロを不適切に処理するため、詳細不明な影響を与える可能性があります。「addr2cidr」関数および「cidrlookup」関数は、CIDR 文字列で先行するゼロを返すことがあり、これが後続のユーザーにより 8 進数として解析される可能性があります。攻撃者がこれを利用して、IPアドレスに基づくアクセス制御をバイパスする可能性があります。ドキュメントでは、信頼できない CIDR 文字列を「cidrvalidate」関数で検証することが推奨されています。ただし、この緩和策はオプションであり、デフォルトでは強制されていません。実際には、ユーザーは信頼できない入力および検証なしに「addr2cidr」または「cidrlookup」を呼び出す可能性があり、これが安全であると誤って判断されます。CVE-2021-4456

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。