CentOS Linux 7 [TuxCare] セキュリティ更新: pcs / pcs-snmp の複数の脆弱性 (CENTOS7:CLSA-2026:1792688174)

high Nessus プラグイン ID 372106

Language:

概要

CentOS Linux ホストに 1 つ以上のセキュリティ更新プログラムが欠落しています。

説明

CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2026:1792688174アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- Rack は、モジュール式の Ruby Web サーバーインターフェースです。2.2.19、3.1.17、3.2.2 より前のバージョンでは、「Rack::Multipart::P arser」が非ファイルフォームフィールド(「ファイル名」のない部分)を Ruby の「文字列」オブジェクトとして完全にメモリに保存します。マルチパート/フォームデータリクエスト内の単一の大きなテキストフィールド(数百メガバイト以上)が、同等のプロセスメモリを消費し、メモリ不足(OOM)状態とサービス拒否(DoS)を引き起こす可能性があります。攻撃者が大きな非ファイルフィールドを送信して、過剰なメモリ使用を引き起こす可能性があります。
影響はリクエストのサイズと同時実行性に応じて変化し、ワーカーのクラッシュや深刻なガベージコレクションのオーバーヘッドにつながる可能性があります。マルチパートフォームの送信を処理するすべての Rack アプリケーションが影響を受けます。バージョン 2.2.19、 3.1.17、 3.2.2 では、非ファイルフィールドに妥当なサイズ上限 (例: 2 MiB) が適用されます。回避策には、Web サーバーまたはプロキシレイヤー(例えば「client_max_body_size」)でのリクエスト本文の最大サイズNginx制限、アプリケーションレベルでの異常に大きなフォームフィールドの検証および拒否などがあります。
(CVE-2025-61771)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。