Amazon Linux 2023 : perl-Net-CIDR-Lite (ALAS2023-2026-1624)

high Nessus プラグイン ID 311311

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1624 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Net::CIDR::Lite バージョンは Perl 0.23 以前はIPv6グループ数を検証できず、IP ACLのバイパスが可能になる場合があります。

_pack_ipv6()は、::)を除く非圧縮IPv6アドレスが正確に8個の十六進グループを持つかどうかをチェックしません。
abcd、1:2:3、1:2:3:4:5:6:7などの入力は受け入れられ、誤った長さ(17バイトではなく3、7、15バイト)のパック値を生成します。

パックされた値は内部でマスクおよび比較操作に使用されます。find() と bin_find() はこれらの値に対して Perl 文字列比較(lt/gt)を用い、異なる長さの文字列を比較すると誤った結果が得られます。
これによりfind()が誤ってアドレスを範囲内または範囲外として報告することがあります。

例 :

my $cidr = Net::CIDR::Lite->new(::/8);$cidr->find(1:2:3);# 無効な入力、誤って真を返す

これは、このモジュールで以前修正された CVE-2021-47154 (IPv4の先頭ゼロ)と同じ種類の入力検証問題です。

同じ関数内のIPv4マッピングIPv6アドレスに影響を与える関連問題 CVE-2026-40199も参照してください。
(CVE-2026-40198)

Net::CIDR::Lite 0.23 以前のPerl版はIPv4マップされたIPv6アドレスを誤って処理しており、これによりIP ACLバイパスが可能になる可能性があります。

_pack_ipv6()は、IPv4マッピングアドレスのパック表現を構築する際に_pack_ipv4()のセンチネルバイトを含みます。例えば::ffff:192.168.1.1です。これにより17バイトではなく18バイトの値が生成され、アドレスのIPv4部分がずれてしまいます。

長さが間違っていると、マスク操作(ビットごとにANDが短いオペランドに切り詰められる)やfind() / bin_find()でPerl文字列比較(lt/gt)を使う場合に誤った結果が生じます。これによりfind()が誤って一致したり、アドレスと誤ったりすることがあります。

例 :

my $cidr = Net::CIDR::Lite->new(::ffff:192.168.1.0/120);$cidr->find(::ffff:192.168.2.0);# 誤って真の返事

これは有効なRFC 4291 IPv4マッピングアドレス(::ffff:x.x.x.x.x)によってトリガーされます。

同じ関数内で、誤ったIPv6アドレスに影響を与える関連問題である CVE-2026-40198も参照してください。
(CVE-2026-40199)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

システムを更新するには「dnf update perl-Net-CIDR-Lite --releasever 2023.11.20260427」または「dnf update --advisory ALAS2023-2026-1624 --releasever 2023.11.20260427」を実行してください。