AlmaLinux 9.2 [TuxCare] セキュリティ更新: cloud-init の複数の脆弱性 (ALMALINUX9.2:CLSA-2025:1760018787)

medium Nessus プラグイン ID 351631

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1760018787アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 25.1.2 までの cloud-init には、systemd ソケットユニット cloud-init-hotplugd.socket が含まれており、デフォルトの SocketMode があり、0666 権限を付与し、誰でも書き込めるようにしています。これは /run/cloud-init/hook-hotplug-cmd FIFO に使用されます。権限のないユーザーが、ホットプラグフックコマンドをトリガーする可能性があります。(CVE-2024-11584)

- 非 x86 プラットフォームが検出された場合、cloud-init はローカル IP アドレスでハードコードされた URL への root アクセスを許可します。これを防ぐために、cloud-init のデフォルト設定でプラットフォーム列挙を無効にします。(CVE-2024-6174)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。