Amazon Linux 2:perl-libwww-perl、 --advisory ALAS2-2026-3325 (ALAS-2026-3325)

medium Nessus プラグイン ID 319853

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている perl-libwww-perl のバージョンは、 6.05-2 より前です。したがって、ALAS2-2026-3325 のアドバイザリに記載されている脆弱性の影響を受けます。

Perl用に 6.83 される前の LWP::UserAgent のバージョンでは、クロスオリジンリダイレクトで Authorization および Proxy-Authorization ヘッダーが漏洩します。

3xx 応答では、リダイレクトハンドラーがフォローアップリクエストを発行する前に、ホストとクッキーのみを取り去ります。
呼び出し元が指定した Authorization および Proxy-Authorization ヘッダーは、スキーム、ホスト、またはポートの変更など、変更されずにリダイレクトターゲットに送信されます。

したがって、攻撃者がコントロールするホストへのリダイレクトにより、呼び出し元の認証情報がそのホストに漏洩します。
(CVE-2026-8368)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。