Amazon Linux 2023 : runfinch-finch (ALAS2023-2026-1507)

medium Nessus プラグイン ID 304588

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1507 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Fulcio は、OpenID Connect (OIDC) ID 用にコード署名証明書を発行する認証局です。 1.8.5より前では、Fulcio の metaRegex() 関数は、アンカーされていない正規表現を使用しており、攻撃者は MetaIssuer URL 検証をバイパスすることや、任意の内部サービスに対して SSRF を発生することができます。SSRF は GET リクエストのみをトリガーできるため、リクエストは状態を変化させることができません。GET リクエストからの応答が呼び出し側に返されないため、データの抽出が可能ではありません。悪意のある攻撃者が、Blind SSRF を通じて内部ネットワークをプローブしようとする可能性があります。この脆弱性は 1.8.5 で修正されました。(CVE-2026-22772)

sigstore framework は、sigstore サービスおよびクライアント全体で共有される共通の go ライブラリです。バージョン 1.10.3 およびそれ以前では、レガシー TUF クライアントpkg/tuf/client.goは、ディスクへのターゲットファイルのキャッシュをサポートします。署名付きのターゲットメタデータからソースされたターゲット名を伴うキャッシュベースディレクトリを結合することで、ファイルシステムパスを構築します。ただし、結果のパスがキャッシュベースディレクトリ内に留まることは検証されません。悪意のある TUF リポジトリは、呼び出しプロセスが持つ権限に限定された、任意のファイルの上書きを発生させる可能性があります。これは、sigstore/sigstore の TUF クライアントを直接使用しているか、古いバージョンの Cosign を使用しているクライアントにのみ影響します。TUF メタデータは信頼できるコラボレーターの定足数によって検証されるため、パブリック Sigstore デプロイメントユーザーは影響を受けません。この問題はバージョン 1.10.4で修正されています。回避策として、ユーザーは、環境で SIGSTORE_NO_CACHE=true を設定することでレガシークライアントのディスクキャッシングを無効にするか、 https://github.com/sigstore/sigstore-go/tree/main/pkg/tufに移行するか、最新の sigstore/sigstore リリースにアップグレードすることができます。CVE-2026-24137

go-tuf は Update FrameworkTUFの Go 実装です。 go-tuf の TAP 4 Multirepo Client は、ローカルメタデータキャッシュディレクトリを選択する際に、ファイルシステムパスコンポーネントとしてマップファイルリポジトリ名の文字列「repoName」を使用します。バージョン 2.0.0 からバージョン 2.4.1より前のバージョンでは、アプリケーションが信頼できないソースからのマップファイルを受け入れる場合、攻撃者はトラバーサルを含む「repoName」を提供し「../ecaped-repo」などのサービス拒否を引き起こし、 tuf は、ディレクトリを作成し、意図されている「LocalMetadataDir」キャッシュベース外で、実行中のプロセスのファイルシステム権限内で、root メタデータファイルを書き込みます。バージョン 2.4.1 にはパッチが含まれています。(CVE-2026-24686)

url.Parse は、ホスト/権限コンポーネントの検証が不十分なため、一部の無効な URL を許容していました。
(CVE-2026-25679)

Unix プラットフォームで、File.ReadDir または File.Readdir を使用してディレクトリのコンテンツをリストする際、返された FileInfo が、File が開かれた Root 外部のファイルを参照する可能性があります。このエスケープの影響は、root外でのファイルの読み書きを許可することなく、ファイルシステムの任意の場所からlstatによって提供されるメタデータを読み取ることに限定されます。CVE-2026-27139

HTML メタタグのコンテンツ属性に URL を挿入するアクションはエスケープされません。これにより、メタタグに値が更新される http-equiv 属性もある場合に、XSS が許可される可能性があります。新しい GODEBUG 設定である htmlmetacontenturlescape が追加されました。これを使用すると、htmlmetacontenturlescape=0 を設定することで、url= に従うメタコンテンツ属性のアクションで、URL のエスケープを無効化できます。CVE-2026-27142

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update runfinch-finch --releasever 2023.10.20260330」または「dnf update --advisory ALAS2023-2026-1507 --releasever 2023.10.20260330」を実行してシステムを更新してください。