Amazon Linux 2023:perl-libwww-perl、perl-libwww-perl-tests(ALAS2023-2026-1764)

medium Nessus プラグイン ID 319802

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1764 のアドバイザリに記載されている脆弱性の影響を受けます。

Perl用に 6.83 される前の LWP::UserAgent のバージョンでは、クロスオリジンリダイレクトで Authorization および Proxy-Authorization ヘッダーが漏洩します。

3xx 応答では、リダイレクトハンドラーがフォローアップリクエストを発行する前に、ホストとクッキーのみを取り去ります。
呼び出し元が指定した Authorization および Proxy-Authorization ヘッダーは、スキーム、ホスト、またはポートの変更など、変更されずにリダイレクトターゲットに送信されます。

したがって、攻撃者がコントロールするホストへのリダイレクトにより、呼び出し元の認証情報がそのホストに漏洩します。
(CVE-2026-8368)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update perl-libwww-perl --releasever 2023.12.20260608」または「dnf update --advisory ALAS2023-2026-1764 --releasever 2023.12.20260608」を実行して、お使いのシステムを更新してください。