AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:protobuf / protobuf-compiler / protobuf-devel / protobuf-emacs / etc 複数の脆弱性(ALMALINUX9.6:CLSA-2026:1772451263)

high Nessus プラグイン ID 360016

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1772451263アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 任意の数のネストされたグループ/一連の SGROUP タグを含む信頼できないプロトコルバッファデータを解析するプロジェクトは、スタック制限 (StackOverflow など) を超えると破損する可能性があります。DiscardUnknownFieldsParser または Java Protobuf Lite パーサーでネストされたグループを未知のフィールドとして解析することで、または Protobuf マップフィールドに対して解析することで無限の再帰が作成され、これを攻撃者が悪用する可能性があります。(CVE-2024-7254)

- google.protobuf.json_formatにサービス拒否(DoS)の脆弱性があります。ネスト化されたgoogle.protobuf.Anyメッセージを解析するときにmax_recursion_depth制限をバイパスできるPythonのParseDict()。内部のAny処理ロジック内に再帰深度アカウンティングがないため、攻撃者が、意図された再帰制限をバイパスする深くネストされた任意の構造体を供給し、最終的にPythonの再帰スタックを枯渇させ、RecursionErrorを引き起こす可能性があります。(CVE-2026-0994)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。