Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用の 0.40068 までの HTML::FormHandler のバージョンでは、_apply_actions と add_error がリクエストデータから構築されたエラーメッセージテキストを Locale::Maketext の括弧表記テンプレートとして使用するため、攻撃者が選択したメソッドのディスパッチとリソース枯渇を引き起こす可能性があります。add_error は、最初の引数を Locale::Maketext のメッセージキーとして言語ハンドルに渡し、デフォルトハンドルの辞書には「_AUTO」が設定されています。そのため、辞書エントリではない文字列は検索されるのではなく、括弧表記テンプレートとしてコンパイルされます。括弧グループ内では、最初のトークンが言語ハンドルで呼び出されるメソッドを指定し、残りのトークンがその引数になります。
    ライブラリが生成したものではない 3 種類のテキストが、その位置に到達します。_apply_actions は「$SIG{WARN}」ハンドラーをインストールして警告テキストを「$error_message」に保存し、キャプチャされた警告はアクションが正常に終了した後も残るため、数値変換を持つフィールドでは「Argument [sprintf,%50000000d,0] isn't numeric」がテンプレートになります。警告には送信された値がそのまま引用されるため、グループは適切に形成され、ディスパッチされます。「$error_message ||= $tobj->validate($new_value)」は型制約自体のエラーメッセージを受け取り、部分ダンパーを介して拒否された値を括弧とコンマの形式でレンダリングします (Moose が Devel::PartialDump をロードできる場合は Devel::PartialDump、Type::Tiny 独自のダンパーは常に使用されます)。そのため、「apply => [Str]」を指定したフィールドに複数回送信されたパラメーターが配列として渡されると、「Reference [a,b] did not pass type constraint Str」がテンプレートになります。このリクエスト自体には括弧文字が含まれていません。
    強制または変換の例外も、同じ方法でそこに到達します。これらに加えて、フィールド値をメッセージに含むバリデーターは、その値をテンプレートに直接配置します。また、add_error は arrayref の最初の引数の内容でメッセージリストを置き換えるため (「@message = @{$message[0]} if ref $message[0] eq 'ARRAY'」)、配列として渡された値によって、同じリクエストから引数スロットも埋められます。「[0]」などの不正な形式のグループはコンパイル時に例外を発生させ、HTML::FormHandler::I18N::maketext と add_error はそれぞれその例外を再度 die として発生させるため、process() が例外をスローします。sprintf という名前の適切な形式のグループが、攻撃者が選択したフィールド幅で CORE::sprintf に到達します。信頼できないフィールドに型制約または変換を適用する呼び出し元、またはバリデーターが信頼できないフィールド値を add_error に渡す呼び出し元は、1 つのリクエストで process() から未処理の例外をスローさせたり、任意の量のメモリを割り当てさせたりする可能性があります。また、言語ハンドルのサブクラスが副作用のあるパブリックメソッドを定義しているアプリケーションでは、攻撃者が選択した引数でそれらのメソッドを呼び出せるようになります。ダンプされた型制約メッセージは例外に限定されます。これは、どちらのダンパーも数値以外の要素を引用するため、メソッドスロットが攻撃者によって選択された名前になることはないためです。内蔵メッセージは引数スロットに値を含む固定テンプレートを渡しますが、この値は不活性のままです。また、内蔵フィールド型は明示的なメッセージコールバックを設定するため、どちらも影響を受けません。(CVE-2022-4993)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-4993

critical Nessus プラグイン ID 335195

バージョン 1.7