Amazon Linux 2:perl-HTTP-Tiny、 --advisory ALAS2-2026-3326 (ALAS-2026-3326)

medium Nessus プラグイン ID 319846

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている perl-HTTP-Tiny のバージョンは、0.033-3 より前です。したがって、ALAS2-2026-3326 のアドバイザリに記載されている脆弱性の影響を受けます。

HTTP::Perl 用の 0.093 より前の ::Tiny バージョンは、リクエスト行の CRLF を検証せず、フィールドヘッダー値をコントロールHTTPしません。

検証されない入力は、リクエスト行のメソッドと URI、「Host:」ヘッダーになる URL ホスト、HTTP/1.1 コントロールデータフィールド値です。

これらの入力の 1 つ(例えば、Webhook や URL フェッチエンドポイントに渡されるユーザー指定の URL など)をコントロールする攻撃者は、追加のヘッダーを送りこみ、リクエストを上流サーバーにスマグリングすることができます。(CVE-2026-7010)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。