Amazon Linux 2023 : aws-cfn-bootstrap (ALAS2023-2026-1662)

high Nessus プラグイン ID 315023

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1662 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

OpenSSL に欠陥が見つかりました。リモートの攻撃者は、AES-GCM などの認証付き暗号と関連データ (AEAD) 暗号を使用する AuthEnvelopedData 構造体を解析する際に、オーバーサイズの初期化ベクトル (IV) のある細工された Cryptographic Message Syntax (CMS) メッセージを供給することで、スタックバッファオーバーフローの脆弱性を悪用することができます。これにより、クラッシュが発生し、サービス拒否 (DoS) を引き起こしたり、リモートでコードが実行されたりする可能性があります。(CVE-2025-15467)

非 ASCII BMP コードポイントを含む BMPString(UTF-16BE)フレンドリ名を付けて、悪意を持って細工された PKCS#12 ファイルで PKCS12_get_friendlyname() 関数を呼び出すと、割り当てられたバッファの前に 1 バイトの書き込みがトリガーされる可能性があります。(CVE-2025-69419)

TimeStamp Response検証コードに型の取り違え(Type Confusion)の脆弱性があります。このとき、最初に型を検証せずにASN1_TYPEユニオンメンバーにアクセスし、無効な形式のTimeStamp Responseファイルを処理するときに無効またはNULLポインターデリファレンスが発生します。(CVE-2025-69420)

無効な形式の PKCS#12 ファイルを処理することで、PKCS12_item_decrypt_d2i_ex() 関数で NULL ポインターデリファレンスが発生する可能性があります。(CVE-2025-69421)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update aws-cfn-bootstrap --releasever 2023.11.20260514」または「dnf update --advisory ALAS2023-2026-1662 --releasever 2023.11.20260514」を実行してシステムを更新してください。