Rocky Linux 8ホストには、CIQ crlsa-2024_2988 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * urllib3: urllib3 は、オリジン間リダイレクトに従うときに認証 HTTP ヘッダーを削除しません (CVE-2018-25091)

    * golang: math/big.Rat: 非常に大きな指数を持つ入力を受け渡した場合に、パニックまたは回復不能な致命的エラーを引き起こす可能性があります (CVE-2021-33198)

    * golang: crypto/tls: 間違ったタイプの証明書が、TLS クライアントのパニックを引き起こしています (CVE-2021-34558)

    * golang: archive/tar: ヘッダー読み取り時の無制限メモリ消費 (CVE-2022-2879)

    * golang: net/http/httputil: ReverseProxy は、解析できないクエリパラメーターを転送すべきではありません (CVE-2022-2880)

    * golang: regexp/syntax: 正規表現の解析により使用されるメモリを制限します (CVE-2022-41715)

    * golang: crypto/tls: 大きな RSA キーを含む証明書チェーンの検証に時間がかかります (CVE-2023-29409)

    * golang: html/template: スクリプトコンテキスト内での HTML のようなコメントの不適切な処理 (CVE-2023-39318)

    * golang: html/template: スクリプトコンテキスト内での特別なタグの不適切な処理 (CVE-2023-39319)

    * golang: crypto/tls: QUIC 接続でポストハンドシェイクメッセージを処理する際のパニック (CVE-2023-39321)

    * golang: crypto/tls: バッファリングされたポストハンドシェイクの制限の欠如 (CVE-2023-39322)

    * golang: net/http/internal: HTTP リクエストによるリソース消費によるサービス拒否 (DoS) (CVE-2023-39326)

    * golang: crypto/tls: RSA ベースの TLS 鍵交換におけるタイミングサイドチャネル攻撃。(CVE-2023-45287)

    * urllib3: 303 ステータスからのリダイレクトがリクエストメソッドを GET に変更した後、リクエスト本文が削除されません (CVE-2023-45803)

    * ssh: バイナリパケットプロトコル (BPP) に対するプレフィックス切り捨て攻撃 (CVE-2023-48795)

    * moby/buildkit: キャッシュマウントからのサブパスへのアクセスの競合状態の可能性 (CVE-2024-23650)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8 [CIQ] セキュリティ更新プログラム:aardvark-dns/cockpit-podman/conmon/conmon-debuginfo/etcの複数の脆弱性(crlsa-2024_2988)

medium Nessus プラグイン ID 353827

変更ログが見つかりません