2023 年 Amazon Linux:perl-Crypt-PBKDF2(ALAS2023-2026-1891)

high Nessus プラグイン ID 322062

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1891 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Perl 用の 0.261630 より前の Crypt::P BKDF2 バージョンは、タイミング攻撃に脆弱です。

これらのバージョンでは、Perl のビルトイン eq 比較を使用します。タイミングの不一致を利用して、下層にある派生キーを推測される可能性があります。(CVE-2017-20240)

Perl 用の 0.261630 より前の Crypt::P BKDF2 バージョンは、ソルトに対して安全でないランダム値を生成します。

これらのバージョンでは、rand関数が内蔵されています。この関数は予測可能であり、暗号には不向きです。
(CVE-2026-9638)

Perl に対して 0.261630 より前の Crypt::P BKDF2 バージョンには、弱いデフォルトアルゴリズムと反復回数があります。

デフォルトのアルゴリズムは HMAC-SHA1 です。これは、レガシーシステムに対してのみ使用する必要があります。

これらのバージョンでは、デフォルトでは 1000 反復を使用します。

選択したアルゴリズムに応じて、220,000〜1,400,000回の反復を使用する必要があります。(CVE-2026-9641)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update perl-Crypt-PBKDF2 --releasever 2023.12.20260622」または「dnf update --advisory ALAS2023-2026-1891 --releasever 2023.12.20260622」を実行して、お使いのシステムを更新してください。