リモートのOracle Linux 8ホストに、ELSA-2021-9396アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.71.1までのEnvoyで問題が見つかりました。未知のTLSアラートコードを受信した際に、TLSでリモートで悪用可能なNULLポインターデリファレンスとクラッシュが発生します。（CVE-2021-28683）

  - 1.71.1までのEnvoyで問題が見つかりました。リモートで悪用可能な整数オーバーフローがあり、非常に大きなgrpc-timeout値が、予期しないタイムアウト計算を引き起こします。（CVE-2021-28682）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用可能な脆弱性があり、パスベースの認証ルールが使用されているとき、複数のスラッシュまたはスラッシュ文字（％2Fまたは％5C）を含むHTTPリクエストパスがIstio認証ポリシーをバイパスする可能性があります。（CVE-2021-31920）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用できる脆弱性があり、ゲートウェイがAUTO_PASSTHROUGHルーティング構成で構成されているとき、外部クライアントがクラスター内の予期しないサービスにアクセスし、認証チェックをバイパスする可能性があります。（CVE-2021-31921）

  - Envoy 1.14.0で問題が見つかりました。空のMETADATAマップがReachableアサーションを発生させるため、HTTP2メタデータにリモートで悪用可能なクラッシュが存在します。（CVE-2021-29258）

  - Istio（1.8.x、1.9.0-1.9.5および 1.10.0-1.10.1）には、ゲートウェイとDestinationRule credentialNameフィールドで指定された資格情報は、異なる名前空間からアクセスできるリモート悪用可能な脆弱性を含んでいます。（CVE-2021-34824）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021: 1324のアドバイザリ記載された複数の脆弱性の影響を受けます。

  - envoyproxy/envoy: 大きなgrpcタイムアウトを処理する整数オーバーフロー（CVE-2021-28682）

  - envoyproxy/envoy: TLSアラートコード処理におけるNULLポインターデリファレンス（CVE-2021-28683）。

  - envoyproxy/envoy: 空のHTTP/2メタデータマップによるクラッシュ（CVE-2021-29258）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021: 1322のアドバイザリ記載された複数の脆弱性の影響を受けます。

  - istio-pilot：apiのデバッグリクエストにより、パニックが発生する可能性があります（CVE-2019-25014）

  - envoyproxy/envoy: 大きなgrpcタイムアウトを処理する整数オーバーフロー（CVE-2021-28682）

  - envoyproxy/envoy: TLSアラートコード処理におけるNULLポインターデリファレンス（CVE-2021-28683）。

  - envoyproxy/envoy: 空のHTTP/2メタデータマップによるクラッシュ（CVE-2021-29258）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 7ホストに、ELSA-2021-9399アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.71.1までのEnvoyで問題が見つかりました。未知のTLSアラートコードを受信した際に、TLSでリモートで悪用可能なNULLポインターデリファレンスとクラッシュが発生します。（CVE-2021-28683）

  - 1.71.1までのEnvoyで問題が見つかりました。リモートで悪用可能な整数オーバーフローがあり、非常に大きなgrpc-timeout値が、予期しないタイムアウト計算を引き起こします。（CVE-2021-28682）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用可能な脆弱性があり、パスベースの認証ルールが使用されているとき、複数のスラッシュまたはスラッシュ文字（％2Fまたは％5C）を含むHTTPリクエストパスがIstio認証ポリシーをバイパスする可能性があります。（CVE-2021-31920）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用できる脆弱性があり、ゲートウェイがAUTO_PASSTHROUGHルーティング構成で構成されているとき、外部クライアントがクラスター内の予期しないサービスにアクセスし、認証チェックをバイパスする可能性があります。（CVE-2021-31921）

  - Envoy 1.14.0で問題が見つかりました。空のMETADATAマップがReachableアサーションを発生させるため、HTTP2メタデータにリモートで悪用可能なクラッシュが存在します。（CVE-2021-29258）

  - Istio（1.8.x、1.9.0-1.9.5および 1.10.0-1.10.1）には、ゲートウェイとDestinationRule credentialNameフィールドで指定された資格情報は、異なる名前空間からアクセスできるリモート悪用可能な脆弱性を含んでいます。（CVE-2021-34824）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 7ホストに、ELSA-2021-9397アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.71.1までのEnvoyで問題が見つかりました。未知のTLSアラートコードを受信した際に、TLSでリモートで悪用可能なNULLポインターデリファレンスとクラッシュが発生します。（CVE-2021-28683）

  - 1.71.1までのEnvoyで問題が見つかりました。リモートで悪用可能な整数オーバーフローがあり、非常に大きなgrpc-timeout値が、予期しないタイムアウト計算を引き起こします。（CVE-2021-28682）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用可能な脆弱性があり、パスベースの認証ルールが使用されているとき、複数のスラッシュまたはスラッシュ文字（％2Fまたは％5C）を含むHTTPリクエストパスがIstio認証ポリシーをバイパスする可能性があります。（CVE-2021-31920）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用できる脆弱性があり、ゲートウェイがAUTO_PASSTHROUGHルーティング構成で構成されているとき、外部クライアントがクラスター内の予期しないサービスにアクセスし、認証チェックをバイパスする可能性があります。（CVE-2021-31921）

  - Envoy 1.14.0で問題が見つかりました。空のMETADATAマップがReachableアサーションを発生させるため、HTTP2メタデータにリモートで悪用可能なクラッシュが存在します。（CVE-2021-29258）

  - Istio（1.8.x、1.9.0-1.9.5および 1.10.0-1.10.1）には、ゲートウェイとDestinationRule credentialNameフィールドで指定された資格情報は、異なる名前空間からアクセスできるリモート悪用可能な脆弱性を含んでいます。（CVE-2021-34824）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 8ホストに、ELSA-2021-9398アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.71.1までのEnvoyで問題が見つかりました。未知のTLSアラートコードを受信した際に、TLSでリモートで悪用可能なNULLポインターデリファレンスとクラッシュが発生します。（CVE-2021-28683）

  - 1.71.1までのEnvoyで問題が見つかりました。リモートで悪用可能な整数オーバーフローがあり、非常に大きなgrpc-timeout値が、予期しないタイムアウト計算を引き起こします。（CVE-2021-28682）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用可能な脆弱性があり、パスベースの認証ルールが使用されているとき、複数のスラッシュまたはスラッシュ文字（％2Fまたは％5C）を含むHTTPリクエストパスがIstio認証ポリシーをバイパスする可能性があります。（CVE-2021-31920）

  - 1.8.6より前のIstioおよび1.9.5より前の1.9.xには、リモートで悪用できる脆弱性があり、ゲートウェイがAUTO_PASSTHROUGHルーティング構成で構成されているとき、外部クライアントがクラスター内の予期しないサービスにアクセスし、認証チェックをバイパスする可能性があります。（CVE-2021-31921）

  - Envoy 1.14.0で問題が見つかりました。空のMETADATAマップがReachableアサーションを発生させるため、HTTP2メタデータにリモートで悪用可能なクラッシュが存在します。（CVE-2021-29258）

  - Istio（1.8.x、1.9.0-1.9.5および 1.10.0-1.10.1）には、ゲートウェイとDestinationRule credentialNameフィールドで指定された資格情報は、異なる名前空間からアクセスできるリモート悪用可能な脆弱性を含んでいます。（CVE-2021-34824）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
152265	Oracle Linux 8：olcne（ELSA-2021-9396）	Nessus	Oracle Linux Local Security Checks	2021/8/6	2024/10/23	critical
148942	RHEL 8：Red Hat OpenShift Service Mesh 2.0.3（RHSA-2021: 1324)	Nessus	Red Hat Local Security Checks	2021/4/22	2024/11/7	high
148943	RHEL 8：Red Hat OpenShift Service Mesh 1.1.13（RHSA-2021: 1322)	Nessus	Red Hat Local Security Checks	2021/4/22	2024/11/7	high
152266	Oracle Linux 7：olcne（ELSA-2021-9399）	Nessus	Oracle Linux Local Security Checks	2021/8/6	2024/10/22	critical
152267	Oracle Linux 7：olcne（ELSA-2021-9397）	Nessus	Oracle Linux Local Security Checks	2021/8/6	2024/10/22	critical
152268	Oracle Linux 8：olcne（ELSA-2021-9398）	Nessus	Oracle Linux Local Security Checks	2021/8/6	2024/10/22	critical

検出

プラグインの検索

critical

high

high

critical

critical

critical