リモートの Ubuntu 20.04 LTS ホストには、USN-6629-3のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。影響を受けるバージョンは、特定の文字を不適切にデコードすることが判明しました。適切なサロゲートペアの一部ではないエスケープされたサロゲート文字を含む JSON 文字列が、正しくデコードされませんでした。これにより、文字列が破損するだけでなく、辞書でキーの取り違えや値の上書きが発生する可能性があります。信頼できないソースから JSON を解析するすべてのユーザーが脆弱です。バージョン 5.4.0 以降、UltraJSON はローンサロゲートを標準ライブラリの「json」モジュールが行うのと同じ方法でデコードし、解析された出力に保存します。ユーザーにアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2022-31116)

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。5.4.0 より前のバージョンでは、文字列デコードのためにバッファを再割り当てする際にエラーが発生すると、バッファが 2 回解放される可能性があります。UltraJSON が内部デコーダーを使用する方法により、この二重解放は Python からトリガーできません。この問題はバージョン 5.4.0 で解決されており、すべてのユーザーは UltraJSON 5.4.0 にアップグレードする必要があります。この問題についての既知の回避策はありません。(CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2022:8864 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - python-ujson: エスケープされた代理文字の不適切なデコードにより、文字列の破損、キーの混乱、または値の上書きが発生する可能性があります (CVE-2022-31116)

  - python-ujson: 文字列のデコード中にバッファが二重解放される可能性 (CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 22.04 LTS ホストには、USN-6629-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - UltraJSON (別名 ujson) 5.1.0まででは、Buffer_AppendIndentUnchecked (encode から呼び出される) にスタックベースのバッファオーバーフローがあります。例えば、悪用により大量のインデントが使用される可能性があります。(CVE-2021-45958)

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。影響を受けるバージョンは、特定の文字を不適切にデコードすることが判明しました。適切なサロゲートペアの一部ではないエスケープされたサロゲート文字を含む JSON 文字列が、正しくデコードされませんでした。これにより、文字列が破損するだけでなく、辞書でキーの取り違えや値の上書きが発生する可能性があります。信頼できないソースから JSON を解析するすべてのユーザーが脆弱です。バージョン 5.4.0 以降、UltraJSON はローンサロゲートを標準ライブラリの「json」モジュールが行うのと同じ方法でデコードし、解析された出力に保存します。ユーザーにアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2022-31116)

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。5.4.0 より前のバージョンでは、文字列デコードのためにバッファを再割り当てする際にエラーが発生すると、バッファが 2 回解放される可能性があります。UltraJSON が内部デコーダーを使用する方法により、この二重解放は Python からトリガーできません。この問題はバージョン 5.4.0 で解決されており、すべてのユーザーは UltraJSON 5.4.0 にアップグレードする必要があります。この問題についての既知の回避策はありません。(CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 8850 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-ujson: エスケープされた代理文字の不適切なデコードにより、文字列の破損、キーの混乱、または値の上書きが発生する可能性があります (CVE-2022-31116)

  - python-ujson: 文字列のデコード中にバッファが二重解放される可能性 (CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:2673-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。影響を受けるバージョンは、特定の文字を不適切にデコードすることが判明しました。適切なサロゲートペアの一部ではないエスケープされたサロゲート文字を含む JSON 文字列が、正しくデコードされませんでした。これにより、文字列が破損するだけでなく、辞書でキーの取り違えや値の上書きが発生する可能性があります。信頼できないソースから JSON を解析するすべてのユーザーが脆弱です。バージョン 5.4.0 以降、UltraJSON はローンサロゲートを標準ライブラリの「json」モジュールが行うのと同じ方法でデコードし、解析された出力に保存します。ユーザーにアップグレードすることを推奨します。この問題についての既知の回避策はありません。(CVE-2022-31116)

  - UltraJSON は、Python 3.7+ 用のバインディングがある純粋な C で書かれた高速 JSON エンコーダおよびデコーダーです。5.4.0 より前のバージョンでは、文字列デコードのためにバッファを再割り当てする際にエラーが発生すると、バッファが 2 回解放される可能性があります。UltraJSON が内部デコーダーを使用する方法により、この二重解放は Python からトリガーできません。この問題はバージョン 5.4.0 で解決されており、すべてのユーザーは UltraJSON 5.4.0 にアップグレードする必要があります。この問題についての既知の回避策はありません。(CVE-2022-31117)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
190582	Ubuntu 20.04 LTS : UltraJSON の脆弱性 (USN-6629-3)	Nessus	Ubuntu Local Security Checks	2024/2/15	2024/2/15	high
170380	RHEL 8 : Red Hat OpenStack Platform 16.1.9 (python-ujson) (RHSA-2022:8864)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	high
190410	Ubuntu 16.04 LTS/18.04 LTS/22.04 LTS: UltraJSON の脆弱性 (USN-6629-1)	Nessus	Ubuntu Local Security Checks	2024/2/12	2024/2/15	high
170362	RHEL 8: Red Hat OpenStack Platform 16.2.4 (python-ujson) (RHSA-2022: 8850)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/3	high
163879	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: python-ujson (SUSE-SU-2022:2673-1)	Nessus	SuSE Local Security Checks	2022/8/5	2023/7/14	high

検出

プラグインの検索

high

high

high

high

high