Rocky Linux 8 [CIQ] セキュリティ更新:libdb-cxx/libdb-cxx-debuginfo/libdb-debuginfo/etcの複数の脆弱性(crlsa-2023_6818)

critical Nessus プラグイン ID 356305

Language:

概要

Rocky Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

Rocky Linux 8ホストには、CIQ crlsa-2023_6818 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

* golang:net/http、x/net/http2:急なストリームリセットにより過剰な作業が発生する可能性があります(CVE-2023-44487)(CVE-2023-39325)

* HTTP/2:複数の HTTP/2 対応の Web サーバーが DDoS 攻撃(ラピッドリセット攻撃)に対して脆弱です(CVE-2023-44487)

* GitPython:クローンでの安全でないマルチ以外のオプションとclone_fromがブロックされません(CVE-2023-40267)

* kubeclient:kubeconfigの解析エラーはMITM攻撃につながる可能性があります(CVE-2022-0759)

* foreman:ct_command および fcct_command による OS コマンドインジェクション(CVE-2022-3874)

* ruby-git:コードインジェクションの脆弱性(CVE-2022-46648)

* ruby-git:コードインジェクションの脆弱性(CVE-2022-47318)

* Foreman:テンプレートによる任意のコードの実行(CVE-2023-0118)

* rubygem-activerecord:SQL インジェクション(CVE-2023-22794)

* openssl:c_rehashスクリプトによりコマンドインジェクションが可能になります(CVE-2022-1292)

* openssl:c_rehash スクリプトにより、コマンド注入が可能になります(CVE-2022-2068)

* pulp:平文で保存されたトークン(CVE-2022-3644)

* satellite:Referer ヘッダーを介したブラインド SSRF(CVE-2022-4130)

* python-future:リモートの攻撃者が、悪意のある Web サーバー(CVE-2022-40899)の細工された Set-Cookie ヘッダーを介してサービス拒否を引き起こす可能性があります

* golang:net/http:HTTP/2 リクエストを受け入れる Go サーバーの過剰なメモリ増加(CVE-2022-41717)

* rubygem-activerecord:サービス拒否(CVE-2022-44566)

* rubygem-rack:Content-Disposition 解析のサービス拒否(CVE-2022-44570)

* rubygem-rack:Content-Disposition 解析のサービス拒否(CVE-2022-44571)

* rubygem-rack:Content-Disposition 解析のサービス拒否(CVE-2022-44572)

* Foreman:ホストタブでの蓄積型クロスサイトスクリプティング(CVE-2023-0119)

* puppet:Puppet Server の ReDoS(CVE-2023-1894)

* rubygem-actionpack:Action Dispatch でのサービス拒否(CVE-2023-22792)

* rubygem-actionpack:Action Dispatch でのサービス拒否(CVE-2023-22795)

* rubygem-activesupport:正規表現のサービス拒否(CVE-2023-22796)

* rubygem-globalid:ReDoS 脆弱性(CVE-2023-22799)

* rubygem-rack:マルチパート MIME 解析のサービス拒否(CVE-2023-27530)

* rubygem-rack:ヘッダー解析のサービス拒否(CVE-2023-27539)

* golang: net/http: ホストヘッダーの不十分なサニタイズ (CVE-2023-29406)

* sqlparse:パーサーに、ReDOS(正規表現のサービス拒否)に対して脆弱な正規表現が含まれています(CVE-2023-30608)

* python-django:1 つのフォームフィールドを使用して複数のファイルをアップロードする際の検証バイパスの可能性(CVE-2023-31047)

* python-requests:Proxy-Authorization ヘッダーの意図しない漏洩(CVE-2023-32681)

* python-django: EmailValidator/URLValidator における正規表現によるサービス拒否の潜在的な脆弱性 (CVE-2023-36053)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。