リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:3345-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-35255: Azure ID ライブラリの権限昇格の脆弱性を修正しました。(bsc#1230100)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている amazon-cloudwatch-agent のバージョンは、1.300044.0-1 より前です。したがって、ALAS2-2024-2630 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Azure Identity ライブラリおよび Microsoft Authentication Library の権限昇格の脆弱性 (CVE-2024-35255)

    OpenTelemetry Collector は、テレメトリデータを受信、処理、エクスポートする方法に関して、ベンダーに依存しない実装を提供します。安全でない展開の脆弱性により、認証されていない攻撃者が過剰なメモリ消費を介してコレクターをクラッシュさせる可能性があります。OTel Collector バージョン 0.102.1 はこの問題を修正します。また、confighttp モジュールバージョン 0.102.0 および configgrpc モジュールバージョン 0.102.1 でも修正されています。(CVE-2024-36129)

    AWS は、CVE-2024-41110 を認識しています。これは、Amazon Linux で docker としてパッケージ化された Moby オープンソースプロジェクトに影響を与える問題です。Docker は、いくつかのオープンソースコンテナ管理システムのコンポーネントです。

    この問題は、docker のデフォルト設定には影響しません。認証プラグインが有効な場合、docker デーモンへの特別に細工された API リクエストが認証プラグインに転送され、権限昇格などの意図しないアクションが引き起こされる可能性があります。承認プラグインの有効化は、通常とは異なる設定です。影響を受ける API エンドポイントは、デフォルト、標準、推奨のいずれの構成でもネットワークに公開されていません。デフォルトの EKS および ECS 設定は、API エンドポイントをネットワークに公開しません。ECS を使用している場合、Docker 認証プラグインの有効化はサポートされていません。最後に、docker は 1.24 より新しい EKS AMI にはインストールされていません。Docker は 1.24 以前の EKS にインストールされていますが、EKS は認証プラグインをサポートしていません。

    この問題に対応する更新済みの docker パッケージが、Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 および docker-25.0.6-1.amzn2.0.1) および Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1) で利用可能です。AWS では、docker を使用しているお客様には、これらのバージョン以降にアップグレードすることを推奨しています。(CVE-2024-41110)

    0.7.7 より前の go-retryablehttp は、ログファイルに書き込む際に URL をサニタイズしませんでした。これにより、go-retryablehttp が機密性の高い HTTP 基本認証情報をログファイルに書き込む可能性があります。この脆弱性 CVE-2024-6104 は、go-retryablehttp 0.7.7 で修正されました。(CVE-2024-6104)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Azure Identity のバージョンは、4.2.1 より前です。したがって、脆弱性の影響を受けます。

  - Azure Identity ライブラリおよび Microsoft Authentication Library の権限昇格の脆弱性 (CVE-2024-35255)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、82830965-3073-11ef-a17d-5404a68ad561 のアドバイザリに記載されている脆弱性の影響を受けます。

    Traefik 執筆者による報告:
    - Azure Identity ライブラリおよび Microsoft Authentication Library に権限昇格の脆弱性があります。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0750-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-35255: 競合状態により、権限昇格と Azure Identity ライブラリの機密情報への認証されていないアクセスが引き起こされます (bsc#1230100)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-708 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Azure Identity ライブラリおよび Microsoft Authentication Library の権限昇格の脆弱性 (CVE-2024-35255)

    OpenTelemetry Collector は、テレメトリデータを受信、処理、エクスポートする方法に関して、ベンダーに依存しない実装を提供します。安全でない展開の脆弱性により、認証されていない攻撃者が過剰なメモリ消費を介してコレクターをクラッシュさせる可能性があります。OTel Collector バージョン 0.102.1 はこの問題を修正します。また、confighttp モジュールバージョン 0.102.0 および configgrpc モジュールバージョン 0.102.1 でも修正されています。(CVE-2024-36129)

    AWS は、CVE-2024-41110 を認識しています。これは、Amazon Linux で docker としてパッケージ化された Moby オープンソースプロジェクトに影響を与える問題です。Docker は、いくつかのオープンソースコンテナ管理システムのコンポーネントです。

    この問題は、docker のデフォルト設定には影響しません。認証プラグインが有効な場合、docker デーモンへの特別に細工された API リクエストが認証プラグインに転送され、権限昇格などの意図しないアクションが引き起こされる可能性があります。承認プラグインの有効化は、通常とは異なる設定です。影響を受ける API エンドポイントは、デフォルト、標準、推奨のいずれの構成でもネットワークに公開されていません。デフォルトの EKS および ECS 設定は、API エンドポイントをネットワークに公開しません。ECS を使用している場合、Docker 認証プラグインの有効化はサポートされていません。最後に、docker は 1.24 より新しい EKS AMI にはインストールされていません。Docker は 1.24 以前の EKS にインストールされていますが、EKS は認証プラグインをサポートしていません。

    この問題に対応する更新済みの docker パッケージが、Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 および docker-25.0.6-1.amzn2.0.1) および Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1) で利用可能です。AWS では、docker を使用しているお客様には、これらのバージョン以降にアップグレードすることを推奨しています。(CVE-2024-41110)

    0.7.7 より前の go-retryablehttp は、ログファイルに書き込む際に URL をサニタイズしませんでした。これにより、go-retryablehttp が機密性の高い HTTP 基本認証情報をログファイルに書き込む可能性があります。この脆弱性 CVE-2024-6104 は、go-retryablehttp 0.7.7 で修正されました。(CVE-2024-6104)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
207507	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-azure-identity (SUSE-SU-2024:3345-1)	Nessus	SuSE Local Security Checks	2024/9/20	2024/9/20	medium
206820	Amazon Linux 2 : amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
200486	Azure Identity SDK 4.2.1	Nessus	Misc.	2024/6/13	2024/10/7	medium
200865	FreeBSD: traefik -- Azure ID ライブラリの権限昇格の脆弱性 (82830965-3073-11ef-a17d-5404a68ad561)	Nessus	FreeBSD Local Security Checks	2024/6/22	2024/6/22	medium
216962	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-azure-identity (SUSE-SU-2025:0750-1)	Nessus	SuSE Local Security Checks	2025/3/1	2025/3/1	medium
206817	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium