リモートの Fedora 37 ホストには、FEDORA-2023-c9b2182a4e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 36 ホストには、FEDORA-2023-6550d9323b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 38 ホストには、FEDORA-2023-4e2068ba5d のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 39 ホストには、FEDORA-2023-46c95e2c57 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:4606-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ORAS は、OCI Artifacts を OCI Conformant レジストリにプッシュする方法を可能にするオープンソースソフトウェアです。ORAS は、初期テスト用の CLI であり、Go モジュールでもあります。バージョン 0.4.0 以降およびバージョン 0.9.0 以前の ORAS では、zip-slip の脆弱性があります。ディレクトリサポート機能により、ダウンロードした gzip で圧縮された tarball を、tarball がシンボリックリンクとハードリンクを持つことができるユーザー指定のディレクトリに自動的に抽出できます。巧妙に細工された tarball により、悪意のあるアーティファクトプロバイダーが、「oras pull」を実行するユーザーと同じ権限で、ユーザー指定のディレクトリ外のホストファイルシステム上の特定のファイルを予期せずにリンク、書き込み、または上書きする可能性があります。影響を受けるバージョンのユーザーは、「oras pull」を実行する「oras」CLI ユーザーであるか、「github.com/deislabs/oras/pkg/content.FileStore」を呼び出す Go プログラムである場合、影響を受けます。この問題は、バージョン 0.9.0 で修正されました。「oras」CLI ユーザーの場合、信頼できるアーティファクトプロバイダーからプルする以外に回避策はありません。「oras」パッケージのユーザーの回避策は、「github.com/deislabs/oras/pkg/content.FileStore」を使用せず、代わりに他のコンテンツストアを使用するか、信頼できるアーティファクトプロバイダーからプルすることです。(CVE-2021-21272)

  - v3.8.0 より前の GitHub リポジトリ emicklei/go-restful でのユーザー制御キーによる認証バイパス
    (CVE-2022-1996)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、制御されないリソース消費の影響を受けるため、サービス拒否が発生します。_strvals_ パッケージの関数への入力
    により、スタックオーバーフローが発生する可能性があります。Go では、スタックオーバーフローをから回復できません。
    Helm SDK の _strvals_ パッケージの関数を使用するアプリケーションは、このパッケージを使用する際にサービス拒否攻撃を受け、パニックが発生する可能性があります。この問題は 3.10.3 でパッチされています。SDK ユーザーは、ユーザーから提供された文字列を検証せず、大きな配列を作成しないため、_strvals_ 関数に渡す前にメモリを大量に消費する可能性があります。(CVE-2022-23524)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、_repo_package で NULL ポインターデリファレンスの影響を受けます。_repo_ パッケージには、リポジトリのインデックスファイルを処理するハンドラーが含まれています。たとえば、Helm クライアントは、チャートが管理されているチャートリポジトリへの参照を追加します。_repo_ パッケージは、リポジトリのインデックスファイルを解析し、Go が操作できる構造にロードします。一部の文字列入力によって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _repo_ パッケージを使用してインデックスファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm Client は、メモリ違反パニックを引き起こすインデックスファイルでパニックになります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_repo_ 関数に渡す前に、正しくフォーマットされたインデックスファイルを検証できます。(CVE-2022-23525)

  - Helm は、事前に構成された Kubernetes リソースである Charts を管理するためのツールです。3.10.3 より前のバージョンは、セグメンテーション違反を引き起こす可能性がある the_chartutil_ パッケージの NULL ポインターデリファレンスの影響を受けます。。
    _chartutil_ パッケージには、JSON スキーマ検証ファイルをロードするパーサーが含まれています。たとえば、チャートをレンダリングするとき、Helm クライアントはスキーマファイルでその値を検証します。_chartutil_ パッケージは、スキーマファイルを解析し、Go が操作できる構造にロードします。一部のスキーマファイルによって配列データ構造が作成され、メモリ違反を引き起こす可能性があります。Helm SDK の _chartutil_ パッケージを使用してスキーマファイルを解析するアプリケーションは、その入力が原因で回復できないパニックを引き起こすと、サービス拒否に陥る可能性があります。Helm は長期実行サービスではないため、パニックは今後の Helm クライアントの使用に影響を与えません。この問題は 3.10.3 でパッチされています。SDK ユーザーは、_chartutil_ 関数に渡す前に、正しくフォーマットされたスキーマファイルを検証できます。(CVE-2022-23526)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
171802	Fedora 37 : golang-github-need-being-tree / golang-helm-3 / golang-oras / etc (2023-c9b2182a4e)	Nessus	Fedora Local Security Checks	2023/2/22	2024/4/29	critical
171806	Fedora 36 : golang-github-need-being-tree / golang-helm-3 / golang-oras / etc (2023-6550d9323b)	Nessus	Fedora Local Security Checks	2023/2/22	2024/4/29	critical
171807	Fedora 38 : golang-github-need-being-tree / golang-helm-3 / golang-oras / etc (2023-4e2068ba5d)	Nessus	Fedora Local Security Checks	2023/2/22	2024/4/29	critical
194633	Fedora 39 : golang-helm-3 (2023-46c95e2c57)	Nessus	Fedora Local Security Checks	2024/4/29	2024/4/29	critical
169282	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: helm (SUSE-SU-2022:4606-1)	Nessus	SuSE Local Security Checks	2022/12/23	2023/7/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical