リモートのDebian 11 ホストには、dsa-5041 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - RPKI の CA 発行者が、1.3.0 より前の OctoRPKI を騙して無効な VRP MaxLength 値を放出させ、RTR セッションを終了させる可能性があります。攻撃者はこれを使用して、BGP ハイジャックを起動する前に、被害者のネットワーク (AS 13335-Cloudflare など) の RPKI Origin Validation を無効にすることができます。これは、通常の操作中に RPKI 無効として拒否されます。さらに、特定の展開では、RTR セッション自体が BGP ルーティングチャーンを引き起こし、可用性の問題を引き起こす可能性があります。 (CVE-2021-3761)

  - OctoRPKI は、..を含むファイル名の URI をエスケープしません。これにより、リポジトリがファイルを作成する可能性があります (例：rsync: //example.org/repo/../../etc/cron.daily/evil.roa)。そしてベースキャッシュフォルダー外のディスクへ書き込まれます。これにより、OctoRPKI が実行されているホストマシンでリモートコードが実行される可能性があります。 (CVE-2021-3907)

  - OctoRPKI は証明書チェーンの深さを制限しないため、CA がアドホックな方法で子を作成できるため、ツリートラバーサルが終了しません。 (CVE-2021-3908)

  - OctoRPKI は接続の長さを制限しないため、slowloris DOS 攻撃が発生し、OctoRPKI が永久に待機する可能性があります。具体的には、OctoRPKI が HTTP リクエストを送信するリポジトリは、応答が返される前の 1 日間は接続を開いたままにしておきますが、新しいバイトをドリップフィードし続けて、接続を維持します。 (CVE-2021-3909)

  - 無効な ROA (エンコードされたNUL (\0) 文字のみ) を返すリポジトリに遭遇すると、OctoRPKI がクラッシュします。 (CVE-2021-3910)

  - リポジトリが返す ROA に含まれている IP アドレスのビットが多すぎる場合、OctoRPKI がクラッシュします。
    (CVE-2021-3911)

  - OctoRPKI は、リポジトリのコンテンツ全体をメモリにロードしようとします。GZIP 爆弾の場合は、メモリで解凍します。これにより、OctoRPKI がメモリ不足になる (したがってクラッシュする) リポジトリを作成することが可能になります。 (CVE-2021-3912)

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

  - NLnet Labs Routinator のバージョン 0.9.0から 0.10.1までは、RRDP リポジトリへの問い合わせ時に gzip 転送エンコーディングをサポートします。このエンコーディングを RRDP リポジトリで使用すると、これらのバージョンの Routinator でメモリ不足によるクラッシュを引き起こす可能性があります。RRDP は XML を使用しており、エンコードされたデータに任意の量の空白を許可します。gzip スキームは、このような空白を非常に適切に圧縮するため、非常に小さな圧縮ファイルになりますが、次の処理のために解凍されると、次の XML 要素を待つために入力データを解析すると Routinator がメモリ不足になるほど巨大になります。(CVE-2021-43174)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのDebian 11 ホストには、dsa-5033 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OctoRPKI は、..を含むファイル名の URI をエスケープしません。これにより、リポジトリがファイルを作成する可能性があります (例：rsync: //example.org/repo/../../etc/cron.daily/evil.roa)。そしてベースキャッシュフォルダー外のディスクへ書き込まれます。これにより、OctoRPKI が実行されているホストマシンでリモートコードが実行される可能性があります。 (CVE-2021-3907)

  - OctoRPKI は接続の長さを制限しないため、slowloris DOS 攻撃が発生し、OctoRPKI が永久に待機する可能性があります。具体的には、OctoRPKI が HTTP リクエストを送信するリポジトリは、応答が返される前の 1 日間は接続を開いたままにしておきますが、新しいバイトをドリップフィードし続けて、接続を維持します。 (CVE-2021-3909)

  - RPKI CA が X.509 EE 証明書を発行すると、 1.5.2より前のバージョンの FORT Validator がクラッシュします。これにより、BGP ルーターなどの RTR クライアントが RPKI VRP データセットへのアクセスを失い、Route Origin Validation が事実上無効になります。 (CVE-2021-43114)

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、9c990e67-6e30-11ec-82db-b42e991fc52e のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 0.10.2 以前の NLnet Labs Routinator は、無限に続く RRDP リポジトリの連鎖を適切に処理するため、検証作業が終了しないことがありました。RPKI では、CA はデータを公開したい RRDP リポジトリを選択できます。異なる RRDP リポジトリを使用する別の CA のみで構成される新しい子 CA を継続的に生成することで、悪意のある CA が事実上無限の長さの CA の連鎖を作成する可能性があります。
    バージョン 0.10.2 以前の Routinator では、このような連鎖の長さに制限を設けていなかったため、この連鎖を永遠に処理し続けることになります。その結果、健勝の実行が終了せず、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。(CVE-2021-43172)

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

  - NLnet Labs Routinator のバージョン 0.9.0 から 0.10.1 までは、RRDP リポジトリへの問い合わせ時に gzip 転送エンコーディングをサポートします。このエンコーディングを RRDP リポジトリで使用すると、これらのバージョンの Routinator でメモリ不足によるクラッシュを引き起こす可能性があります。RRDP は XML を使用しており、エンコードされたデータに任意の量の空白を許可します。gzip スキームは、このような空白を非常に適切に圧縮するため、非常に小さな圧縮ファイルになりますが、次の処理のために解凍されると、次の XML 要素を待つために入力データを解析すると Routinator がメモリ不足になるほど巨大になります。(CVE-2021-43174)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
156636	Debian DSA-5041-1：cfrpki - セキュリティ更新	Nessus	Debian Local Security Checks	2022/1/12	2025/1/24	critical
156442	Debian DSA-5033-1: fort-validator - セキュリティ更新	Nessus	Debian Local Security Checks	2021/12/31	2025/1/24	critical
224276	Linux Distros のパッチ未適用の脆弱性: CVE-2021-43173	Nessus	Misc.	2025/3/5	2025/3/5	high
156470	FreeBSD：routinator -- 複数の脆弱性 (9c990e67-6e30-11ec-82db-b42e991fc52e)	Nessus	FreeBSD Local Security Checks	2022/1/5	2023/11/6	high

検出

プラグインの検索

critical

critical

high

high