AlmaLinux 9.2 [TuxCare] セキュリティ更新:buildah / buildah-tests 複数の脆弱性 (ALMALINUX9.2:CLSA-2025:1752088672)

high Nessus プラグイン ID 362276

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1752088672アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- github.com/containers/image ライブラリに欠陥が見つかりました。この欠陥により、攻撃者が被害者のユーザーに代わって認証されているレジストリアクセスを予期しないものとして発生させ、リソース枯渇、ローカルパストラバーサルなどの攻撃を引き起こす可能性があります。(CVE-2024-3727)

- Go JOSE は、JSON Web Encryption (JWE)、JSON Web Signature (JWS)、および JSON Web Token (JWT) 標準のサポートを含む、Go の Javascript オブジェクト署名および暗号化標準セットの実装を提供します。バージョン 4.0.5 より前の 4.x ブランチのバージョンでは、コンパクトな JWS または JWE 入力を解析する際に、Go JOSE が過剰なメモリを使用する可能性があります。コードは、strings.Split(token, .) を使用して JWT トークンを分割しました。これは、多数の「.」文字がある悪意のある細工されたトークンを処理するとき、過剰なメモリ消費に対して脆弱です。攻撃者がこれを悪用して多数の無効な形式のトークンを送信し、メモリ枯渇とサービス拒否を引き起こす可能性があります。バージョン 4.0.5 ではこの問題が修正されています。回避策として、アプリケーションは、Go JOSE に渡されるペイロードに過剰な数の「.」文字が含まれていないことを事前に検証できます。
(CVE-2025-27144)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。