The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dsa-5041 advisory.

  - Any CA issuer in the RPKI can trick OctoRPKI prior to 1.3.0 into emitting an invalid VRP MaxLength     value, causing RTR sessions to terminate. An attacker can use this to disable RPKI Origin Validation in a     victim network (for example AS 13335 - Cloudflare) prior to launching a BGP hijack which during normal     operations would be rejected as RPKI invalid. Additionally, in certain deployments RTR session flapping     in and of itself also could cause BGP routing churn, causing availability issues. (CVE-2021-3761)

  - OctoRPKI does not escape a URI with a filename containing .., this allows a repository to create a file,     (ex. rsync://example.org/repo/../../etc/cron.daily/evil.roa), which would then be written to disk outside     the base cache folder. This could allow for remote code execution on the host machine OctoRPKI is running     on. (CVE-2021-3907)

  - OctoRPKI does not limit the depth of a certificate chain, allowing for a CA to create children in an ad-     hoc fashion, thereby making tree traversal never end. (CVE-2021-3908)

  - OctoRPKI does not limit the length of a connection, allowing for a slowloris DOS attack to take place     which makes OctoRPKI wait forever. Specifically, the repository that OctoRPKI sends HTTP requests to will     keep the connection open for a day before a response is returned, but does keep drip feeding new bytes to     keep the connection alive. (CVE-2021-3909)

  - OctoRPKI crashes when encountering a repository that returns an invalid ROA (just an encoded NUL (\0)     character). (CVE-2021-3910)

  - If the ROA that a repository returns contains too many bits for the IP address then OctoRPKI will crash.
    (CVE-2021-3911)

  - OctoRPKI tries to load the entire contents of a repository in memory, and in the case of a GZIP bomb,     unzip it in memory, making it possible to create a repository that makes OctoRPKI run out of memory (and     thus crash). (CVE-2021-3912)

  - In NLnet Labs Routinator prior to 0.10.2, a validation run can be delayed significantly by an RRDP     repository by not answering but slowly drip-feeding bytes to keep the connection alive. This can be used     to effectively stall validation. While Routinator has a configurable time-out value for RRDP connections,     this time-out was only applied to individual read or write operations rather than the complete request.
    Thus, if an RRDP repository sends a little bit of data before that time-out expired, it can continuously     extend the time it takes for the request to finish. Since validation will only continue once the update of     an RRDP repository has concluded, this delay will cause validation to stall, leading to Routinator     continuing to serve the old data set or, if in the initial validation run directly after starting, never     serve any data at all. (CVE-2021-43173)

  - NLnet Labs Routinator versions 0.9.0 up to and including 0.10.1, support the gzip transfer encoding when     querying RRDP repositories. This encoding can be used by an RRDP repository to cause an out-of-memory     crash in these versions of Routinator. RRDP uses XML which allows arbitrary amounts of white space in the     encoded data. The gzip scheme compresses such white space extremely well, leading to very small compressed     files that become huge when being decompressed for further processing, big enough that Routinator runs out     of memory when parsing input data waiting for the next XML element. (CVE-2021-43174)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートのDebian 11 ホストには、dsa-5041 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - RPKI の CA 発行者が、1.3.0 より前の OctoRPKI を騙して無効な VRP MaxLength 値を放出させ、RTR セッションを終了させる可能性があります。攻撃者はこれを使用して、BGP ハイジャックを起動する前に、被害者のネットワーク (AS 13335-Cloudflare など) の RPKI Origin Validation を無効にすることができます。これは、通常の操作中に RPKI 無効として拒否されます。さらに、特定の展開では、RTR セッション自体が BGP ルーティングチャーンを引き起こし、可用性の問題を引き起こす可能性があります。 (CVE-2021-3761)

  - OctoRPKI は、..を含むファイル名の URI をエスケープしません。これにより、リポジトリがファイルを作成する可能性があります (例：rsync: //example.org/repo/../../etc/cron.daily/evil.roa)。そしてベースキャッシュフォルダー外のディスクへ書き込まれます。これにより、OctoRPKI が実行されているホストマシンでリモートコードが実行される可能性があります。 (CVE-2021-3907)

  - OctoRPKI は証明書チェーンの深さを制限しないため、CA がアドホックな方法で子を作成できるため、ツリートラバーサルが終了しません。 (CVE-2021-3908)

  - OctoRPKI は接続の長さを制限しないため、slowloris DOS 攻撃が発生し、OctoRPKI が永久に待機する可能性があります。具体的には、OctoRPKI が HTTP リクエストを送信するリポジトリは、応答が返される前の 1 日間は接続を開いたままにしておきますが、新しいバイトをドリップフィードし続けて、接続を維持します。 (CVE-2021-3909)

  - 無効な ROA (エンコードされたNUL (\0) 文字のみ) を返すリポジトリに遭遇すると、OctoRPKI がクラッシュします。 (CVE-2021-3910)

  - リポジトリが返す ROA に含まれている IP アドレスのビットが多すぎる場合、OctoRPKI がクラッシュします。
    (CVE-2021-3911)

  - OctoRPKI は、リポジトリのコンテンツ全体をメモリにロードしようとします。GZIP 爆弾の場合は、メモリで解凍します。これにより、OctoRPKI がメモリ不足になる (したがってクラッシュする) リポジトリを作成することが可能になります。 (CVE-2021-3912)

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

  - NLnet Labs Routinator のバージョン 0.9.0から 0.10.1までは、RRDP リポジトリへの問い合わせ時に gzip 転送エンコーディングをサポートします。このエンコーディングを RRDP リポジトリで使用すると、これらのバージョンの Routinator でメモリ不足によるクラッシュを引き起こす可能性があります。RRDP は XML を使用しており、エンコードされたデータに任意の量の空白を許可します。gzip スキームは、このような空白を非常に適切に圧縮するため、非常に小さな圧縮ファイルになりますが、次の処理のために解凍されると、次の XML 要素を待つために入力データを解析すると Routinator がメモリ不足になるほど巨大になります。(CVE-2021-43174)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

遠端 Debian 11 主機上安裝的套件受到 dsa-5041 公告中提及的多個弱點影響。

  - RPKI 中的任何 CA 簽發者都可誘騙 1.3.0 之前的 OctoRPKI 發出無效的 VRP MaxLength 值，進而造成 RTR 工作階段終止。攻擊者可利用此弱點，在啟動 BGP 劫持之前，停用受害網路 (例如 AS 13335 - Cloudflare) 中的 RPKI 來源驗證，該劫持在正常作業期間會因為 RPKI 無效而遭到拒絕。此外，在某些部署中，RTR 工作階段本身發生變動也會造成 BGP 路由變動，進而造成可用性問題。(CVE-2021-3761)

  - OctoRPKI 不會逸出檔案名稱中包含「..」的 URI，存放庫可藉此弱點建立檔案 (例如 rsync: //example.org/repo/../../etc/cron.daily/evil.roa)，然後將其寫入基本快取資料夾之外的磁碟。而這將允許在執行 OctoRPKI 的主機上執行遠端程式碼。(CVE-2021-3907)

  - OctoRPKI 未限制憑證鏈結的深度，允許 CA 以特別方式建立子項，從而使樹狀結構遊走永無止境。(CVE-2021-3908)

  - OctoRPKI 未限制連線長度，進而允許發動 slowloris DOS 攻擊，以使 OctoRPKI 永遠處於等待狀態。具體而言，接收 OctoRPKI 傳送之 HTTP 要求的存放庫會保持連線在一天內持續開啟，然後再傳回回應，但會在此期間繼續提供新的位元組以使連線持續作用。(CVE-2021-3909)

  - 遇到傳回無效 ROA (僅編碼的 NUL (\0) 字元) 的存放庫時，OctoRPKI 會損毀。(CVE-2021-3910)

  - 如果存放庫傳回的 ROA 包含過多 IP 位址位元，則 OctoRPKI 會損毀。
    (CVE-2021-3911)

  - OctoRPKI 嘗試在記憶體中載入存放庫的全部內容，如果發生 GZIP 炸彈，則將其解壓縮到記憶體中，進而可能建立會讓 OctoRPKI 耗盡記憶體 (並因此損毀) 的存放庫。(CVE-2021-3912)

  - 在早於 0.10.2 版的 NLnet Labs Routerator 中，RRDP 存放庫可大幅延遲執行驗證，採用的方法是不回應但緩慢提供位元組以使連線持續作用。這可用於有效懸置驗證。雖然 Routizer 中有一個可設定的 RRDP 連線逾時值，但此逾時只會套用至個別的讀取或寫入作業，而非完整的要求。
    因此，如果 RRDP 存放庫在該逾時到期之前傳送了少許資料，它會持續延長完成要求所需的時間。由於只有在 RRDP 存放庫的更新結束後才會繼續進行驗證，因此該延遲將導致驗證懸置，進而導致 Routizer 繼續提供舊的資料集；或者，如果在啟動後直接執行初始驗證，Routizer 將不會提供任何資料。(CVE-2021-43173)

  - NLnet Labs Routingator 0.9.0 至 0.10.1 (含) 版在查詢 RRDP 存放庫時支援 gzip 傳輸編碼。RRDP 存放庫可使用此編碼在這些版本的 Routerator 中造成因記憶體不足導致損毀。RRDP 使用允許在編碼資料中使用任意數量空白字元的 XML。gzip 配置可非常好地壓縮此類空白字元，導致非常小的壓縮檔案在解壓縮以供進一步處理時變得巨大，大到足以造成 Routinator 在剖析等待下一個 XML 元素的輸入資料時耗盡記憶體。(CVE-2021-43174)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的一个程序包受到 dsa-5041 公告中提及的多个漏洞影响。

  - RPKI 中的任何 CA 颁发者都可以诱骗 OctoRPKI 1.3.0 之前版本发出无效的 VRP MaxLength 值，从而导致 RTR 会话终止。攻击者可利用此漏洞，在启动 BGP 劫持之前禁用受害网络（例如 AS 13335 - Cloudflare）中的 RPKI 源验证，此劫持在正常操作期间会因为 RPKI 无效而遭到拒绝。此外，在某些部署中，RTR 会话不稳定或会话本身也可能会造成 BGP 路由波动，从而导致可用性问题。(CVE-2021-3761)

  - OctoRPKI 不会转义文件名中包含“..”的 URI，这会允许存储库创建文件（例如 rsync: //example.org/repo/../../etc/cron.daily/evil.roa），然后将其写入基本缓存文件夹以外的磁盘。而该操作可能允许在运行 OctoRPKI 的主机上执行远程代码。(CVE-2021-3907)

  - OctoRPKI 不限制证书链的深度，允许 CA 以临时方式创建子项，从而使树的遍历永无止境。(CVE-2021-3908)

  - OctoRPKI 未限制连接长度，这将允许发动 slowloris DOS 攻击，从而导致 OctoRPKI 永远处于等待状态。具体来说，OctoRPKI 向其发送 HTTP 请求的存储库将在返回响应之前，保持连接打开一天时间，但会不断输入新字节以保持连接处于活动状态。(CVE-2021-3909)

  - 遇到返回无效 ROA（仅编码的 NUL (\0) 字符）的存储库时，OctoRPKI 会崩溃。(CVE-2021-3910)

  - 如果存储库返回的 ROA 包含过多 IP 地址位，则 OctoRPKI 将崩溃。
    (CVE-2021-3911)

  - OctoRPKI 尝试将存储库的全部内容加载到内存中，如果是 GZIP 炸弹，则会在内存中将其解压缩，从而可能创建一个会让 OctoRPKI 耗尽内存（并因此崩溃）的存储库。(CVE-2021-3912)

  - 在 0.10.2 之前版本的 NLnet Labs Routerator 中，RRDP 存储库可通过不响应而是缓慢输入字节来保持连接处于活动状态，从而显著延迟运行验证程序。这可用于有效暂缓验证。尽管 Routerator 具有用于 RRDP 连接的可配置超时值，但此超时仅应用于单个读取或写入操作，而不是完整的请求。
    因此，如果 RRDP 存储库在该超时到期之前发送了少量数据，则它可以持续延长完成请求所需的时间。由于验证程序仅会在 RRDP 存储库更新结束后才会继续进行，因此该延迟将导致验证暂缓，进而导致 Routator 继续提供旧数据集，或者如果在初始验证开始后直接运行 Routator，则它将不会提供任何数据。(CVE-2021-43173)

  - 当查询 RRDP 存储库时，NLnet Labs Routinator 0.9.0 至 0.10.1（含）版本支持 gzip 传输编码。RRDP 存储库可使用此编码在这些版本的 Routinator 中造成由内存不足引发的崩溃。RRDP 会使用允许编码数据中有任意数量空格的 XML。gzip 方案会极度压缩这些空格，导致非常小的压缩文件在解压缩以做进一步处理时变得巨大，大到足以导致 Routinator 在解析等待下一个 XML 元素的输入数据时耗尽内存。(CVE-2021-43174)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
156636	Debian DSA-5041-1 : cfrpki - security update	Nessus	Debian Local Security Checks	2022/1/12	2022/1/12	critical
156636	Debian DSA-5041-1：cfrpki - セキュリティ更新	Nessus	Debian Local Security Checks	2022/1/12	2022/1/12	critical
156636	Debian DSA-5041-1：cfrpki - 安全性更新	Nessus	Debian Local Security Checks	2022/1/12	2022/1/12	critical
156636	Debian DSA-5041-1：cfrpki - 安全更新	Nessus	Debian Local Security Checks	2022/1/12	2022/1/12	critical

検出

プラグインの検索

critical

critical

critical

critical