The version of ecs-service-connect-agent installed on the remote host is prior to v1.27.0.0-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2ECS-2023-007 advisory.

  - Wasmtime is a standalone runtime for WebAssembly. Prior to versions 6.0.2, 7.0.1, and 8.0.1, Wasmtime's     implementation of managing per-instance state, such as tables and memories, contains LLVM-level undefined     behavior. This undefined behavior was found to cause runtime-level issues when compiled with LLVM 16 which     causes some writes, which are critical for correctness, to be optimized away. Vulnerable versions of     Wasmtime compiled with Rust 1.70, which is currently in beta, or later are known to have incorrectly     compiled functions. Versions of Wasmtime compiled with the current Rust stable release, 1.69, and prior     are not known at this time to have any issues, but can theoretically exhibit potential issues. The     underlying problem is that Wasmtime's runtime state for an instance involves a Rust-defined structure     called `Instance` which has a trailing `VMContext` structure after it. This `VMContext` structure has a     runtime-defined layout that is unique per-module. This representation cannot be expressed with safe code     in Rust so `unsafe` code is required to maintain this state. The code doing this, however, has methods     which take `&self` as an argument but modify data in the `VMContext` part of the allocation. This means     that pointers derived from `&self` are mutated. This is typically not allowed, except in the presence of     `UnsafeCell`, in Rust. When compiled to LLVM these functions have `noalias readonly` parameters which     means it's UB to write through the pointers. Wasmtime's internal representation and management of     `VMContext` has been updated to use `&mut self` methods where appropriate. Additionally verification tools     for `unsafe` code in Rust, such as `cargo miri`, are planned to be executed on the `main` branch soon to     fix any Rust-level issues that may be exploited in future compiler versions. Precomplied binaries     available for Wasmtime from GitHub releases have been compiled with at most LLVM 15 so are not known to be     vulnerable. As mentioned above, however, it's still recommended to update. Wasmtime version 6.0.2, 7.0.1,     and 8.0.1 have been issued which contain the patch necessary to work correctly on LLVM 16 and have no     known UB on LLVM 15 and earlier. If Wasmtime is compiled with Rust 1.69 and prior, which use LLVM 15, then     there are no known issues. There is a theoretical possibility for undefined behavior to exploited,     however, so it's recommended that users upgrade to a patched version of Wasmtime. Users using beta Rust     (1.70 at this time) or nightly Rust (1.71 at this time) must update to a patched version to work     correctly. (CVE-2023-30624)

  - c-ares is an asynchronous resolver library. When cross-compiling c-ares and using the autotools build     system, CARES_RANDOM_FILE will not be set, as seen when cross compiling aarch64 android. This will     downgrade to using rand() as a fallback which could allow an attacker to take advantage of the lack of     entropy by not using a CSPRNG. This issue was patched in version 1.19.1. (CVE-2023-31124)

  - c-ares is an asynchronous resolver library. ares_inet_net_pton() is vulnerable to a buffer underflow for     certain ipv6 addresses, in particular 0::00:00:00/2 was found to cause an issue. C-ares only uses this     function internally for configuration purposes which would require an administrator to configure such an     address via ares_set_sortlist(). However, users may externally use ares_inet_net_pton() for other purposes     and thus be vulnerable to more severe issues. This issue has been fixed in 1.19.1. (CVE-2023-31130)

  - c-ares is an asynchronous resolver library. When /dev/urandom or RtlGenRandom() are unavailable, c-ares     uses rand() to generate random numbers used for DNS query ids. This is not a CSPRNG, and it is also not     seeded by srand() so will generate predictable output. Input from the random number generator is fed into     a non-compilant RC4 implementation and may not be as strong as the original RC4 implementation. No attempt     is made to look for modern OS-provided CSPRNGs like arc4random() that is widely available. This issue has     been fixed in version 1.19.1. (CVE-2023-31147)

  - c-ares is an asynchronous resolver library. c-ares is vulnerable to denial of service. If a target     resolver sends a query, the attacker forges a malformed UDP packet with a length of 0 and returns them to     the target resolver. The target resolver erroneously interprets the 0 length as a graceful shutdown of the     connection. This issue has been patched in version 1.19.1. (CVE-2023-32067)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, a malicious client is able to construct credentials with     permanent validity in some specific scenarios. This is caused by the some rare scenarios in which HMAC     payload can be always valid in OAuth2 filter's check. Versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and     1.23.12 have a fix for this issue. As a workaround, avoid wildcards/prefix domain wildcards in the host's     domain configuration. (CVE-2023-35941)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, gRPC access loggers using listener's global scope can cause     a `use-after-free` crash when the listener is drained. Versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and     1.23.12 have a fix for this issue. As a workaround, disable gRPC access log or stop listener update.
    (CVE-2023-35942)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, the CORS filter will segfault and crash Envoy when the     `origin` header is removed and deleted between `decodeHeaders`and `encodeHeaders`. Versions 1.27.0,     1.26.4, 1.25.9, 1.24.10, and 1.23.12 have a fix for this issue. As a workaround, do not remove the     `origin` header in the Envoy configuration. (CVE-2023-35943)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Envoy allows mixed-     case schemes in HTTP/2, however, some internal scheme checks are case-sensitive. Prior to versions 1.27.0,     1.26.4, 1.25.9, 1.24.10, and 1.23.12, this can lead to the rejection of requests with mixed-case schemes     such as `htTp` or `htTps`, or the bypassing of some requests such as `https` in unencrypted connections.
    With a fix in versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, Envoy will now lowercase scheme     values by default, and change the internal scheme checks that were case-sensitive to be case-insensitive.
    There are no known workarounds for this issue. (CVE-2023-35944)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2023-344 advisory.

  - Wasmtime is a standalone runtime for WebAssembly. Prior to versions 6.0.2, 7.0.1, and 8.0.1, Wasmtime's     implementation of managing per-instance state, such as tables and memories, contains LLVM-level undefined     behavior. This undefined behavior was found to cause runtime-level issues when compiled with LLVM 16 which     causes some writes, which are critical for correctness, to be optimized away. Vulnerable versions of     Wasmtime compiled with Rust 1.70, which is currently in beta, or later are known to have incorrectly     compiled functions. Versions of Wasmtime compiled with the current Rust stable release, 1.69, and prior     are not known at this time to have any issues, but can theoretically exhibit potential issues. The     underlying problem is that Wasmtime's runtime state for an instance involves a Rust-defined structure     called `Instance` which has a trailing `VMContext` structure after it. This `VMContext` structure has a     runtime-defined layout that is unique per-module. This representation cannot be expressed with safe code     in Rust so `unsafe` code is required to maintain this state. The code doing this, however, has methods     which take `&self` as an argument but modify data in the `VMContext` part of the allocation. This means     that pointers derived from `&self` are mutated. This is typically not allowed, except in the presence of     `UnsafeCell`, in Rust. When compiled to LLVM these functions have `noalias readonly` parameters which     means it's UB to write through the pointers. Wasmtime's internal representation and management of     `VMContext` has been updated to use `&mut self` methods where appropriate. Additionally verification tools     for `unsafe` code in Rust, such as `cargo miri`, are planned to be executed on the `main` branch soon to     fix any Rust-level issues that may be exploited in future compiler versions. Precomplied binaries     available for Wasmtime from GitHub releases have been compiled with at most LLVM 15 so are not known to be     vulnerable. As mentioned above, however, it's still recommended to update. Wasmtime version 6.0.2, 7.0.1,     and 8.0.1 have been issued which contain the patch necessary to work correctly on LLVM 16 and have no     known UB on LLVM 15 and earlier. If Wasmtime is compiled with Rust 1.69 and prior, which use LLVM 15, then     there are no known issues. There is a theoretical possibility for undefined behavior to exploited,     however, so it's recommended that users upgrade to a patched version of Wasmtime. Users using beta Rust     (1.70 at this time) or nightly Rust (1.71 at this time) must update to a patched version to work     correctly. (CVE-2023-30624)

  - c-ares is an asynchronous resolver library. When cross-compiling c-ares and using the autotools build     system, CARES_RANDOM_FILE will not be set, as seen when cross compiling aarch64 android. This will     downgrade to using rand() as a fallback which could allow an attacker to take advantage of the lack of     entropy by not using a CSPRNG. This issue was patched in version 1.19.1. (CVE-2023-31124)

  - c-ares is an asynchronous resolver library. ares_inet_net_pton() is vulnerable to a buffer underflow for     certain ipv6 addresses, in particular 0::00:00:00/2 was found to cause an issue. C-ares only uses this     function internally for configuration purposes which would require an administrator to configure such an     address via ares_set_sortlist(). However, users may externally use ares_inet_net_pton() for other purposes     and thus be vulnerable to more severe issues. This issue has been fixed in 1.19.1. (CVE-2023-31130)

  - c-ares is an asynchronous resolver library. When /dev/urandom or RtlGenRandom() are unavailable, c-ares     uses rand() to generate random numbers used for DNS query ids. This is not a CSPRNG, and it is also not     seeded by srand() so will generate predictable output. Input from the random number generator is fed into     a non-compilant RC4 implementation and may not be as strong as the original RC4 implementation. No attempt     is made to look for modern OS-provided CSPRNGs like arc4random() that is widely available. This issue has     been fixed in version 1.19.1. (CVE-2023-31147)

  - c-ares is an asynchronous resolver library. c-ares is vulnerable to denial of service. If a target     resolver sends a query, the attacker forges a malformed UDP packet with a length of 0 and returns them to     the target resolver. The target resolver erroneously interprets the 0 length as a graceful shutdown of the     connection. This issue has been patched in version 1.19.1. (CVE-2023-32067)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, a malicious client is able to construct credentials with     permanent validity in some specific scenarios. This is caused by the some rare scenarios in which HMAC     payload can be always valid in OAuth2 filter's check. Versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and     1.23.12 have a fix for this issue. As a workaround, avoid wildcards/prefix domain wildcards in the host's     domain configuration. (CVE-2023-35941)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, gRPC access loggers using listener's global scope can cause     a `use-after-free` crash when the listener is drained. Versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and     1.23.12 have a fix for this issue. As a workaround, disable gRPC access log or stop listener update.
    (CVE-2023-35942)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions     1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, the CORS filter will segfault and crash Envoy when the     `origin` header is removed and deleted between `decodeHeaders`and `encodeHeaders`. Versions 1.27.0,     1.26.4, 1.25.9, 1.24.10, and 1.23.12 have a fix for this issue. As a workaround, do not remove the     `origin` header in the Envoy configuration. (CVE-2023-35943)

  - Envoy is an open source edge and service proxy designed for cloud-native applications. Envoy allows mixed-     case schemes in HTTP/2, however, some internal scheme checks are case-sensitive. Prior to versions 1.27.0,     1.26.4, 1.25.9, 1.24.10, and 1.23.12, this can lead to the rejection of requests with mixed-case schemes     such as `htTp` or `htTps`, or the bypassing of some requests such as `https` in unencrypted connections.
    With a fix in versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, Envoy will now lowercase scheme     values by default, and change the internal scheme checks that were case-sensitive to be case-insensitive.
    There are no known workarounds for this issue. (CVE-2023-35944)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている ecs-service-connect-agent のバージョンは、v1.27.0.0-1 より前です。したがって、ALAS2ECS-2023-007 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Wasmtime は、WebAssembly 用のスタンドアロンランタイムです。バージョン 6.0.2、7.0.1、および 8.0.1 より前では、テーブルやメモリなどのインスタンスごとの状態を管理する Wasmtime の実装には、LLVM レベルの未定義の動作が含まれています。LLVM 16 でコンパイルすると、この未定義の動作がランタイムレベルの問題を引き起こすことがわかりました。これにより、正確性にとって重要な一部の書き込みが最適化されて削除されます。現在ベータ版である Rust 1.70 以降でコンパイルされた Wasmtime の脆弱なバージョンは、関数を不適切にコンパイルすることが知られています。現在の Rust 安定版 (stable) リリース、1.69 以前でコンパイルされた Wasmtime のバージョンは、現時点では問題がないことが確認されていますが、理論上は潜在的な問題を引き起こす可能性があります。根本的な問題は、インスタンスに対する Wasmtime のランタイム状態が、[Instance] と呼ばれる Rust 定義の構造を含み、その後に [VMContext] 構造が末尾にあることです。この [VMContext] 構造には、モジュールごとに一意のランタイム定義のレイアウトがあります。この表現は Rust の安全なコードで表現できないため、この状態を維持するには [unsafe] コードが必要です。ただし、これを行うコードには、[&self] を引数として受け取りますが、割り当ての [VMContext] 部分のデータを変更するメソッドがあります。これは、[&self] から派生したポインターが変更されることを意味します。これは通常、Rust に [UnsafeCell] が存在する場合を除いて許可されません。LLVM にコンパイルされると、これらの関数には [noalias readonly] パラメーターを持ちます。これは、ポインターを通して書き込むのが UB であることを意味します。[VMContext] の Wasmtime の内部表現および管理は、必要に応じて [&mut self] メソッドを使用するように更新されました。さらに、[cargo miri] などの Rust の [unsafe] コードに対する検証ツールが、[main] ブランチでまもなく実行され、将来のコンパイラバージョンで悪用される可能性のある Rust レベルの問題を修正する予定です。GitHub リリースから利用可能な、Wasmtime 用の事前コンパイル済みバイナリは、最大で LLVM 15 でコンパイルされているため、脆弱性があることは知られていません。ただし、上記のとおり、更新することをお勧めします。Wasmtime バージョン 6.0.2、7.0.1、および 8.0.1 が発行されています。これには、LLVM 16 で正しく動作するために必要なパッチが含まれています。LLVM 15 以前では、既知の UB はありません。Wasmtime が LLVM 15 を使用する Rust 1.69 以前でコンパイルされている場合、既知の問題はありません。ただし、理論的には定義されていない動作が悪用される可能性があるため、ユーザーは Wasmtime のパッチを適用したバージョンにアップグレードすることが推奨されます。ベータ版の Rust (1.70 現時点で) またはナイトリー Rust (1.71 現時点で) を使用しているユーザーは、正しく動作させるために、パッチを適用したバージョンに更新する必要があります。(CVE-2023-30624)

  - c-ares は、非同期リゾルバーライブラリです。c-ares をクロスコンパイルし、autotools ビルドシステムを使用する場合、aarch64 android をクロスコンパイルする際に見られるように、CARES_RANDOM_FILE が設定されません。これにより、rand() をフォールバックとして使用するようにダウングレードされるため、攻撃者は、CSPRNG を使用しないことで、エントロピーの欠如を利用できる可能性があります。この問題には、バージョン 1.19.1でパッチが適用されていました。(CVE-2023-31124)

  - c-ares は、非同期リゾルバーライブラリです。ares_inet_net_pton() には、特定の ipv6 アドレスに対するバッファアンダーフローの脆弱性があり、特に 0: : 00: 00: 00/2 が問題を引き起こすことが判明しました。C-ares は、設定の目的で内部的にのみこの関数を使用します。そのため、管理者は ares_set_sortlist() を介してこのようなアドレスを設定する必要があります。ただし、ユーザーは外部で ares_inet_net_pton() を別の目的で使用することで、より深刻な問題が発生する可能性があります。この問題は 1.19.1で修正されました。(CVE-2023-31130)

  - c-ares は、非同期リゾルバーライブラリです。/dev/urandom または RtlGenRandom() が使用できない場合、c-ares は rand() を使用して DNS クエリ ID に使用する乱数を生成します。これは CSPRNG ではなく、また srand() によってシードされないため、予測可能な出力を生成します。乱数発生器からの入力は、非準拠 RC4 実装に供給され、オリジナルの RC4 実装ほど強くない可能性があります。広く利用されている arc4random() のような最新の OS 提供の CSPRNG を探す試みは行われません。この問題はバージョン 1.19.1で修正されています。(CVE-2023-31147)

  - c-ares は、非同期リゾルバーライブラリです。c-ares は、サービス拒否に対して脆弱です。ターゲットリゾルバーがクエリを送信する場合、攻撃者は長さが 0 の無効な形式の UDP パケットを偽造し、ターゲットリゾルバーに返します。ターゲットリゾルバーは、長さ 0 を接続の正常なシャットダウンと誤って解釈します。この問題には、バージョン 1.19.1でパッチが適用されています。(CVE-2023-32067)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前のバージョンでは、悪意のあるクライアントが、一部の特定のシナリオで、永続的に有効な認証情報を構築することが可能です。これは、OAuth2 フィルターのチェックで HMAC ペイロードが常に有効な場合に引き起こされる、いくつかのごく稀なシナリオが原因で発生します。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、ホストのドメイン設定でワイルドカードや、プレフィックスドメインワイルドカードの使用を避けてください。(CVE-2023-35941)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前では、リスナーのグローバルスコープを使用する gRPC アクセスロガーは、リスナーがドレインされる際に「メモリ解放後使用 (use-after-free)」クラッシュを引き起こす可能性があります。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、gRPC アクセスログを無効にするか、リスナーの更新を停止してください。
    (CVE-2023-35942)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前では、「origin」ヘッダーが、「decodeHeaders」と「encodeHeaders」の間で削除されると、CORS フィルターはセグメンテーション違反を引き起こし、Envoy をクラッシュさせる可能性があります。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、Envoy の設定で「origin」ヘッダーを削除しないでください。(CVE-2023-35943)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。Envoy では、HTTP/2 で大文字と小文字を混合したスキーマが許可されていますが、一部の内部スキーマチェックでは大文字と小文字が区別されます。バージョン 1.27.0、1.26.4、1.25.9、1.24.10、1.23.12 より前では、これにより、「htTp」や「htTps」などの大文字と小文字が混在するスキームをもつリクエストが拒否されたり、暗号化されていない接続の「https」のような一部のリクエストがバイパスされる可能性があります。
    バージョン 1.27.0、1.26.4、1.25.9、1.24.10、1.23.12 の修正により、Envoy はデフォルトでスキーマ値を小文字に変換し、大文字と小文字を区別していた内部スキーマチェックを区別しないよう変更されました。
    この問題についての既知の回避策はありません。(CVE-2023-35944)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2023-344 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Wasmtime は、WebAssembly 用のスタンドアロンランタイムです。バージョン 6.0.2、7.0.1、および 8.0.1 より前では、テーブルやメモリなどのインスタンスごとの状態を管理する Wasmtime の実装には、LLVM レベルの未定義の動作が含まれています。LLVM 16 でコンパイルすると、この未定義の動作がランタイムレベルの問題を引き起こすことがわかりました。これにより、正確性にとって重要な一部の書き込みが最適化されて削除されます。現在ベータ版である Rust 1.70 以降でコンパイルされた Wasmtime の脆弱なバージョンは、関数を不適切にコンパイルすることが知られています。現在の Rust 安定版 (stable) リリース、1.69 以前でコンパイルされた Wasmtime のバージョンは、現時点では問題がないことが確認されていますが、理論上は潜在的な問題を引き起こす可能性があります。根本的な問題は、インスタンスに対する Wasmtime のランタイム状態が、[Instance] と呼ばれる Rust 定義の構造を含み、その後に [VMContext] 構造が末尾にあることです。この [VMContext] 構造には、モジュールごとに一意のランタイム定義のレイアウトがあります。この表現は Rust の安全なコードで表現できないため、この状態を維持するには [unsafe] コードが必要です。ただし、これを行うコードには、[&self] を引数として受け取りますが、割り当ての [VMContext] 部分のデータを変更するメソッドがあります。これは、[&self] から派生したポインターが変更されることを意味します。これは通常、Rust に [UnsafeCell] が存在する場合を除いて許可されません。LLVM にコンパイルされると、これらの関数には [noalias readonly] パラメーターを持ちます。これは、ポインターを通して書き込むのが UB であることを意味します。[VMContext] の Wasmtime の内部表現および管理は、必要に応じて [&mut self] メソッドを使用するように更新されました。さらに、[cargo miri] などの Rust の [unsafe] コードに対する検証ツールが、[main] ブランチでまもなく実行され、将来のコンパイラバージョンで悪用される可能性のある Rust レベルの問題を修正する予定です。GitHub リリースから利用可能な、Wasmtime 用の事前コンパイル済みバイナリは、最大で LLVM 15 でコンパイルされているため、脆弱性があることは知られていません。ただし、上記のとおり、更新することをお勧めします。Wasmtime バージョン 6.0.2、7.0.1、および 8.0.1 が発行されています。これには、LLVM 16 で正しく動作するために必要なパッチが含まれています。LLVM 15 以前では、既知の UB はありません。Wasmtime が LLVM 15 を使用する Rust 1.69 以前でコンパイルされている場合、既知の問題はありません。ただし、理論的には定義されていない動作が悪用される可能性があるため、ユーザーは Wasmtime のパッチを適用したバージョンにアップグレードすることが推奨されます。ベータ版の Rust (1.70 現時点で) またはナイトリー Rust (1.71 現時点で) を使用しているユーザーは、正しく動作させるために、パッチを適用したバージョンに更新する必要があります。(CVE-2023-30624)

  - c-ares は、非同期リゾルバーライブラリです。c-ares をクロスコンパイルし、autotools ビルドシステムを使用する場合、aarch64 android をクロスコンパイルする際に見られるように、CARES_RANDOM_FILE が設定されません。これにより、rand() をフォールバックとして使用するようにダウングレードされるため、攻撃者は、CSPRNG を使用しないことで、エントロピーの欠如を利用できる可能性があります。この問題には、バージョン 1.19.1でパッチが適用されていました。(CVE-2023-31124)

  - c-ares は、非同期リゾルバーライブラリです。ares_inet_net_pton() には、特定の ipv6 アドレスに対するバッファアンダーフローの脆弱性があり、特に 0: : 00: 00: 00/2 が問題を引き起こすことが判明しました。C-ares は、設定の目的で内部的にのみこの関数を使用します。そのため、管理者は ares_set_sortlist() を介してこのようなアドレスを設定する必要があります。ただし、ユーザーは外部で ares_inet_net_pton() を別の目的で使用することで、より深刻な問題が発生する可能性があります。この問題は 1.19.1で修正されました。(CVE-2023-31130)

  - c-ares は、非同期リゾルバーライブラリです。/dev/urandom または RtlGenRandom() が使用できない場合、c-ares は rand() を使用して DNS クエリ ID に使用する乱数を生成します。これは CSPRNG ではなく、また srand() によってシードされないため、予測可能な出力を生成します。乱数発生器からの入力は、非準拠 RC4 実装に供給され、オリジナルの RC4 実装ほど強くない可能性があります。広く利用されている arc4random() のような最新の OS 提供の CSPRNG を探す試みは行われません。この問題はバージョン 1.19.1で修正されています。(CVE-2023-31147)

  - c-ares は、非同期リゾルバーライブラリです。c-ares は、サービス拒否に対して脆弱です。ターゲットリゾルバーがクエリを送信する場合、攻撃者は長さが 0 の無効な形式の UDP パケットを偽造し、ターゲットリゾルバーに返します。ターゲットリゾルバーは、長さ 0 を接続の正常なシャットダウンと誤って解釈します。この問題には、バージョン 1.19.1でパッチが適用されています。(CVE-2023-32067)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前のバージョンでは、悪意のあるクライアントが、一部の特定のシナリオで、永続的に有効な認証情報を構築することが可能です。これは、OAuth2 フィルターのチェックで HMAC ペイロードが常に有効な場合に引き起こされる、いくつかのごく稀なシナリオが原因で発生します。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、ホストのドメイン設定でワイルドカードや、プレフィックスドメインワイルドカードの使用を避けてください。(CVE-2023-35941)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前では、リスナーのグローバルスコープを使用する gRPC アクセスロガーは、リスナーがドレインされる際に「メモリ解放後使用 (use-after-free)」クラッシュを引き起こす可能性があります。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、gRPC アクセスログを無効にするか、リスナーの更新を停止してください。
    (CVE-2023-35942)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 より前では、「origin」ヘッダーが、「decodeHeaders」と「encodeHeaders」の間で削除されると、CORS フィルターはセグメンテーション違反を引き起こし、Envoy をクラッシュさせる可能性があります。バージョン 1.27.0、1.26.4、1.25.9、1.24.10 および 1.23.12 には、この問題の修正が含まれています。回避策として、Envoy の設定で「origin」ヘッダーを削除しないでください。(CVE-2023-35943)

  - Envoy は、クラウドネイティブなアプリケーション用に設計されたオープンソースのエッジおよびサービスプロキシです。Envoy では、HTTP/2 で大文字と小文字を混合したスキーマが許可されていますが、一部の内部スキーマチェックでは大文字と小文字が区別されます。バージョン 1.27.0、1.26.4、1.25.9、1.24.10、1.23.12 より前では、これにより、「htTp」や「htTps」などの大文字と小文字が混在するスキームをもつリクエストが拒否されたり、暗号化されていない接続の「https」のような一部のリクエストがバイパスされる可能性があります。
    バージョン 1.27.0、1.26.4、1.25.9、1.24.10、1.23.12 の修正により、Envoy はデフォルトでスキーマ値を小文字に変換し、大文字と小文字を区別していた内部スキーマチェックを区別しないよう変更されました。
    この問題についての既知の回避策はありません。(CVE-2023-35944)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

因此，會受到 ALAS2023-2023-344 公告中所提及的多個弱點影響。

  - Wasmtime 是適用於 WebAssembly 的獨立執行階段。在 6.0.2、7.0.1 和 8.0.1 版之前，Wasmtime 管理各執行個體狀態 (例如表格和記憶體) 的實作包含 LLVM 層級未定義的行為。據發現，此未定義的行為會在以 LLVM 16 編譯時造成執行階段層級問題，進而造成某些對於正確性至關重要的寫入操作遭到最佳化淘汰。已知以 Rust 1.70 編譯的 Wasmtime 版本 (目前為 beta 版或更新版本) 存在弱點，其具有錯誤編譯的函式。以目前 Rust 穩定版本、1.69 和更舊版本編譯的 wasmtime 版本目前尚不知道有任何問題，但理論上可能會出現潛在問題。潛在的問題是，執行個體的 Wasmtime 執行階段狀態涉及一個名為「Instance」的 Rust 定義結構，其後面有一個結尾是「VMContext」的結構。此「VMContext」結構具有每個模組唯一的執行階段定義配置。此表示法無法以 Rust 中的安全程式碼表示，因此需要「unsafe」程式碼來維護此狀態。不過，執行此作業的程式碼具有將「&self」作為引數，但會修改配置「VMContext」部分中的資料的方法。這表示衍生自「&self」的指標會發生變動。這通常是不允許的，除非在 Rust 中存在「UnsafeCell」。編譯至 LLVM 時，這些函式具有「noalias readonly」參數，這表示其 UB 可透過指標寫入。「VMContext」的 wasmtime 內部表示法和管理已更新為在適當情況下使用「&mut self」方法。Rust 中「unsafe」程式碼的其他驗證工具 (例如「cargo miri」) 計劃儘快在「main」分支上執行，以修正可能在未來編譯器版本中遭到惡意利用的所有 Rust 層級問題。來自 GitHub 版本，適用於 Wasmtime 的預先編譯二進位檔最多使用 LLVM 15 編譯，因此不清楚其是否會受到影響。不過，如上所述，我們仍建議使用者進行更新。已發布 6.0.2、7.0.1 和 8.0.1 版 wasmtime，其中包含在 LLVM 16 上正確運作所需的修補程式，且在 LLVM 15 和更舊版本上沒有已知的 UB。如果以 Rust 1.69 和更舊版本 (使用 LLVM 15) 編譯 wasmtime，則不會發生上述問題。不過，理論上仍存在惡意利用未定義行為的可能性，因此我們建議使用者升級至已修補的 Wasmtime 版本。使用 beta 版 Rust (目前為 1.70 版) 或夜間 Rust 版 (目前為 1.71 版) 的使用者必須更新至修補版本，才能正常使用。(CVE-2023-30624)

  - c-ares 是一個非同步解析器程式庫。交叉編譯 c-ares 並使用 autotools 構建系統時，將不會設定 CARES_RANDOM_FILE，如交叉編譯 aarch64 android 時所出現的那樣。這將降級為使用 rand() 作為遞補，進而允許攻擊者不使用 CSPRNG 來利用缺少熵的情況。此問題已在 1.19.1 版中修補。(CVE-2023-31124)

  - c-ares 是一個非同步解析器程式庫。 ares_inet_net_pton() 容易受到某些 ipv6 位址的緩衝區反向溢位影響，特別是 0：: 00: 00: 00/2 會造成問題。C-ares 僅在內部使用此函式進行組態，這會要求系統管理員透過 ares_set_sortlist() 設定此類位址。但是，使用者可能會從外部將 ares_inet_net_pton() 用於其他目的，因此容易受到更嚴重的問題影響。此問題已在 1.19.1 中修正。(CVE-2023-31130)

  - c-ares 是一個非同步解析器程式庫。當 /dev/urandom 或 RtlGenRandom() 不可用時，c-ares 會使用 rand() 產生用於 DNS 查詢 ID 的隨機數。這不是 CSPRNG，也不是由 srand() 植入，因此會產生可預測的輸出。來自亂數產生器的輸入會饋送到不相容的 RC4 實作中，且可能不如原始 RC4 實作強。其不會嘗試尋找現代作業系統提供的 CSPRNG，例如可廣泛使用的 arc4random()。 1.19.1 版已修正此問題。(CVE-2023-31147)

  - c-ares 是一個非同步解析器程式庫。c-ares 容易遭受拒絕服務攻擊。如果目標解析器傳送查詢，攻擊者會偽造長度為 0 的格式錯誤的 UDP 封包，並將其傳回目標解析器。目標解析器錯誤地將 0 長度解譯為連線的正常關閉。此問題已在 1.19.1 版中修正。(CVE-2023-32067)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，惡意用戶端能夠在某些特定情況下建構永久有效的憑證。這是因為在少數情況下，HMAC 承載在 OAuth2 篩選器檢查中總是有效。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為避免在主機的網域設定中使用萬用字元/前置詞網域。(CVE-2023-35941)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，使用接聽程式全域範圍的 gRPC 存取記錄器可在接聽程式耗盡時造成「釋放後使用」當機。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為停用 gRPC 存取記錄或停止更新接聽程式。
    (CVE-2023-35942)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，當移除「decodeHeaders」和「encodeHeaders」之間的「origin」標頭時，CORS 篩選器會發生區段錯誤並造成 Envoy 損毀。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為不移除 Envoy 設定中的「origin」標頭。(CVE-2023-35943)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。Envoy 允許 HTTP/2 中使用混合大小寫的配置，不過，部分內部配置檢查會區分大小寫。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，這可導致程式拒絕包含混合大小寫配置 (例如「htTp」或「htTps」) 的要求，或略過未加密連線中的某些要求，例如「https」。
    透過 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版中的修正程式，Envoy 現在會依預設使用小寫配置值，並將區分大小寫的內部配置檢查變更為不區分大小寫。
    目前沒有任何因應措施可解決此問題。(CVE-2023-35944)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 ecs-service-connect-agent 版本低於 v1.27.0.0-1。因此，會受到 ALAS2ECS-2023-007 公告中所提及的多個弱點影響。

  - Wasmtime 是適用於 WebAssembly 的獨立執行階段。在 6.0.2、7.0.1 和 8.0.1 版之前，Wasmtime 管理各執行個體狀態 (例如表格和記憶體) 的實作包含 LLVM 層級未定義的行為。據發現，此未定義的行為會在以 LLVM 16 編譯時造成執行階段層級問題，進而造成某些對於正確性至關重要的寫入操作遭到最佳化淘汰。已知以 Rust 1.70 編譯的 Wasmtime 版本 (目前為 beta 版或更新版本) 存在弱點，其具有錯誤編譯的函式。以目前 Rust 穩定版本、1.69 和更舊版本編譯的 wasmtime 版本目前尚不知道有任何問題，但理論上可能會出現潛在問題。潛在的問題是，執行個體的 Wasmtime 執行階段狀態涉及一個名為「Instance」的 Rust 定義結構，其後面有一個結尾是「VMContext」的結構。此「VMContext」結構具有每個模組唯一的執行階段定義配置。此表示法無法以 Rust 中的安全程式碼表示，因此需要「unsafe」程式碼來維護此狀態。不過，執行此作業的程式碼具有將「&self」作為引數，但會修改配置「VMContext」部分中的資料的方法。這表示衍生自「&self」的指標會發生變動。這通常是不允許的，除非在 Rust 中存在「UnsafeCell」。編譯至 LLVM 時，這些函式具有「noalias readonly」參數，這表示其 UB 可透過指標寫入。「VMContext」的 wasmtime 內部表示法和管理已更新為在適當情況下使用「&mut self」方法。Rust 中「unsafe」程式碼的其他驗證工具 (例如「cargo miri」) 計劃儘快在「main」分支上執行，以修正可能在未來編譯器版本中遭到惡意利用的所有 Rust 層級問題。來自 GitHub 版本，適用於 Wasmtime 的預先編譯二進位檔最多使用 LLVM 15 編譯，因此不清楚其是否會受到影響。不過，如上所述，我們仍建議使用者進行更新。已發布 6.0.2、7.0.1 和 8.0.1 版 wasmtime，其中包含在 LLVM 16 上正確運作所需的修補程式，且在 LLVM 15 和更舊版本上沒有已知的 UB。如果以 Rust 1.69 和更舊版本 (使用 LLVM 15) 編譯 wasmtime，則不會發生上述問題。不過，理論上仍存在惡意利用未定義行為的可能性，因此我們建議使用者升級至已修補的 Wasmtime 版本。使用 beta 版 Rust (目前為 1.70 版) 或夜間 Rust 版 (目前為 1.71 版) 的使用者必須更新至修補版本，才能正常使用。(CVE-2023-30624)

  - c-ares 是一個非同步解析器程式庫。交叉編譯 c-ares 並使用 autotools 構建系統時，將不會設定 CARES_RANDOM_FILE，如交叉編譯 aarch64 android 時所出現的那樣。這將降級為使用 rand() 作為遞補，進而允許攻擊者不使用 CSPRNG 來利用缺少熵的情況。此問題已在 1.19.1 版中修補。(CVE-2023-31124)

  - c-ares 是一個非同步解析器程式庫。 ares_inet_net_pton() 容易受到某些 ipv6 位址的緩衝區反向溢位影響，特別是 0：: 00: 00: 00/2 會造成問題。C-ares 僅在內部使用此函式進行組態，這會要求系統管理員透過 ares_set_sortlist() 設定此類位址。但是，使用者可能會從外部將 ares_inet_net_pton() 用於其他目的，因此容易受到更嚴重的問題影響。此問題已在 1.19.1 中修正。(CVE-2023-31130)

  - c-ares 是一個非同步解析器程式庫。當 /dev/urandom 或 RtlGenRandom() 不可用時，c-ares 會使用 rand() 產生用於 DNS 查詢 ID 的隨機數。這不是 CSPRNG，也不是由 srand() 植入，因此會產生可預測的輸出。來自亂數產生器的輸入會饋送到不相容的 RC4 實作中，且可能不如原始 RC4 實作強。其不會嘗試尋找現代作業系統提供的 CSPRNG，例如可廣泛使用的 arc4random()。 1.19.1 版已修正此問題。(CVE-2023-31147)

  - c-ares 是一個非同步解析器程式庫。c-ares 容易遭受拒絕服務攻擊。如果目標解析器傳送查詢，攻擊者會偽造長度為 0 的格式錯誤的 UDP 封包，並將其傳回目標解析器。目標解析器錯誤地將 0 長度解譯為連線的正常關閉。此問題已在 1.19.1 版中修正。(CVE-2023-32067)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，惡意用戶端能夠在某些特定情況下建構永久有效的憑證。這是因為在少數情況下，HMAC 承載在 OAuth2 篩選器檢查中總是有效。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為避免在主機的網域設定中使用萬用字元/前置詞網域。(CVE-2023-35941)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，使用接聽程式全域範圍的 gRPC 存取記錄器可在接聽程式耗盡時造成「釋放後使用」當機。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為停用 gRPC 存取記錄或停止更新接聽程式。
    (CVE-2023-35942)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，當移除「decodeHeaders」和「encodeHeaders」之間的「origin」標頭時，CORS 篩選器會發生區段錯誤並造成 Envoy 損毀。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含針對此問題的修復程式。因應措施為不移除 Envoy 設定中的「origin」標頭。(CVE-2023-35943)

  - Envoy 是一種專為雲端原生應用程式設計的開放原始碼邊緣和服務 Proxy 伺服器。Envoy 允許 HTTP/2 中使用混合大小寫的配置，不過，部分內部配置檢查會區分大小寫。在 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前版本中，這可導致程式拒絕包含混合大小寫配置 (例如「htTp」或「htTps」) 的要求，或略過未加密連線中的某些要求，例如「https」。
    透過 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版中的修正程式，Envoy 現在會依預設使用小寫配置值，並將區分大小寫的內部配置檢查變更為不區分大小寫。
    目前沒有任何因應措施可解決此問題。(CVE-2023-35944)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

因此，它受到 ALAS2023-2023-344 公告中提及的多个漏洞影响。

  - Wasmtime 是 WebAssembly 的独立运行时。在 6.0.2、 7.0.1 和 8.0.1 之前的版本中，Wasmtime 每个实例状态（例如表和内存）管理的实现过程都包含 LLVM 级别的未定义行为。我们发现，使用 LLVM 16 编译时，这种未定义的行为会导致运行时级别的问题，从而导致一些对于正确性至关重要的写入操作被优化掉。众所周知，使用 Rust 1.70 编译的 Wasmtime 版本（目前处于测试版或更高版本）含有未正确编译的函数，容易受到攻击。我们尚不清楚使用当前 Rust 稳定版本（1.69 及之前版本）编译的 Wasmtime 版本是否存在任何问题，但理论上可能会出现潜在问题。根本问题在于，Wasmtime 实例的运行时状态涉及一个 Rust 定义的名为“Instance”的结构，该结构后面紧跟一个“VMContext”结构。此“VMContext”结构的布局按运行时定义，并且每个模块的布局都是独一无二的。由于这种表达形式不能用 Rust 中的安全代码来呈现，因此需要用“不安全”代码来维护这种状态。然而，使用这样的代码不仅可以将“&self”作为参数，还能修改分配的“VMContext”部分中的数据。这意味着，源自“&self”的指针会发生突变。在 Rust 中，这种现象通常是不允许的，除非存在“UnsafeCell”。当编译为 LLVM 时，这些函数中包含“noalias readonly”参数，这意味着 UB 可以通过指针进行写入。在适当的情况下，Wasmtime 内部的“VMContext”表示和管理方法已更新为使用“&mut self”方法。此外，我们计划很快在“main”分支上执行用于 Rust 中“不安全”代码（例如“cargo miri”）的验证工具，以修复未来编译器版本中可能被利用的任何 Rust 级别问题。GitHub 版本中可用于 Wasmtime 的预编译二进制文件已最大程度上使用 LLVM 15 进行编译，因此不容易受到攻击。不过，如上所述，仍然建议更新。Wasmtime 版本 6.0.2、7.0.1 和 8.0.1 已发布，其中包含在 LLVM 16 上正常运行所需的补丁，并且 LLVM 15 及更早版本中不存在已知的 UB。如果使用 Rust 1.69 及之前版本（使用 LLVM 15）编译 Wasmtime，则不存在已知问题。然而，理论上还是存在未定义行为被利用的可能性，因此建议用户升级到 Wasmtime 的修补版本。使用 beta 版 Rust（此时为 1.70 ）或夜间版 Rust（此时为 1.71 ）的用户必须更新到修补版本才能继续正常使用。(CVE-2023-30624)

  - c-ares 是一种异步解析器库。当交叉编译 c-ares 并使用 Autotools 构建系统时，与交叉编译 aarch64 android 一样，无需设置 CARES_RANDOM_FILE。这会导致降级使用 rand() 作为回退，让攻击者无需使用 CSPRNG 即可利用缺少熵的情况。已在版本 1.19.1 中修补此问题。(CVE-2023-31124)

  - c-ares 是一个异步解析器库。ares_inet_net_pton() 容易受到某些 ipv6 地址的缓冲区下溢漏洞影响，尤其是 0: : 00: 00: 00/2 会造成问题。C-ares 仅处于配置目的在内部使用此函数，而这需要管理员通过 ares_set_sortlist() 配置此类地址。但是，用户可能出于其他目的而在外部使用 ares_inet_net_pton()，因此容易受到更严重问题的影响。已在 1.19.1 中修复此问题。(CVE-2023-31130)

  - c-ares 是一种异步解析器库。当 /dev/urandom 或 RtlGenRandom() 不可用时，c-ares 会使用 rand() 生成用于 DNS 查询 ID 的随机数。这不是 CSPRNG，也不是由 srand() 植入，因此将生成可预测的输出。来自随机数生成器的输入被馈送给不合规的 RC4 实现，并且可能不如原始 RC4 实现。未尝试查找现代操作系统提供的 CSPRNG，例如广泛可用的 arc4random()。此问题已在 1.19.1 版本中修复。(CVE-2023-31147)

  - c-ares 是一个异步解析器库。c-ares 容易遭受拒绝服务攻击。如果目标解析器发送查询，攻击者便会伪造长度为 0 的畸形 UDP 数据包并将其返回给目标解析器。目标解析器将 0 长度错误地解释为正常关闭连接。已在版本 1.19.1 中修补此问题。(CVE-2023-32067)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，恶意客户端能够在某些特定情况下构建永久有效的凭据。这是由一些罕见的情况引起的，在这些情况下，HMAC 负载在 OAuth2 过滤器的检查中始终有效。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案是，避免在主机的域配置中使用通配符/前缀域通配符。(CVE-2023-35941)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，使用侦听器全局范围的 gRPC 访问记录器在耗尽侦听器时，可造成“释放后使用”崩溃。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案为禁用 gRPC 访问日志或停止侦听器更新。
    (CVE-2023-35942)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，当移除“origin”标头并在“decodeHeaders”和“encodeHeaders”之间删除时，CORS 过滤器将出现段错误并导致 Envoy 崩溃。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案为，请勿删除 Envoy 配置中的“origin”标头。(CVE-2023-35943)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。Envoy 允许 HTTP/2 中存在混合大小写的方案，但是某些内部方案检查会区分大小写。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前的版本中，这可导致拒绝含有大小写混合方案的请求（例如“htTp”或“htTps”），或绕过某些请求（例如未加密连接中的“https”）。
    通过 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版本中的补丁，Envoy 现在将默认以小写方式处理方案值，并将区分大小写的内部方案检查更改为不区分大小写。
    目前尚无针对此问题的解决方案。(CVE-2023-35944)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 ecs-service-connect-agent 版本低于  v1.27.0.0-1。因此，它受到 ALAS2ECS-2023-007 公告中提及的多个漏洞影响。

  - Wasmtime 是 WebAssembly 的独立运行时。在 6.0.2、 7.0.1 和 8.0.1 之前的版本中，Wasmtime 每个实例状态（例如表和内存）管理的实现过程都包含 LLVM 级别的未定义行为。我们发现，使用 LLVM 16 编译时，这种未定义的行为会导致运行时级别的问题，从而导致一些对于正确性至关重要的写入操作被优化掉。众所周知，使用 Rust 1.70 编译的 Wasmtime 版本（目前处于测试版或更高版本）含有未正确编译的函数，容易受到攻击。我们尚不清楚使用当前 Rust 稳定版本（1.69 及之前版本）编译的 Wasmtime 版本是否存在任何问题，但理论上可能会出现潜在问题。根本问题在于，Wasmtime 实例的运行时状态涉及一个 Rust 定义的名为“Instance”的结构，该结构后面紧跟一个“VMContext”结构。此“VMContext”结构的布局按运行时定义，并且每个模块的布局都是独一无二的。由于这种表达形式不能用 Rust 中的安全代码来呈现，因此需要用“不安全”代码来维护这种状态。然而，使用这样的代码不仅可以将“&self”作为参数，还能修改分配的“VMContext”部分中的数据。这意味着，源自“&self”的指针会发生突变。在 Rust 中，这种现象通常是不允许的，除非存在“UnsafeCell”。当编译为 LLVM 时，这些函数中包含“noalias readonly”参数，这意味着 UB 可以通过指针进行写入。在适当的情况下，Wasmtime 内部的“VMContext”表示和管理方法已更新为使用“&mut self”方法。此外，我们计划很快在“main”分支上执行用于 Rust 中“不安全”代码（例如“cargo miri”）的验证工具，以修复未来编译器版本中可能被利用的任何 Rust 级别问题。GitHub 版本中可用于 Wasmtime 的预编译二进制文件已最大程度上使用 LLVM 15 进行编译，因此不容易受到攻击。不过，如上所述，仍然建议更新。Wasmtime 版本 6.0.2、7.0.1 和 8.0.1 已发布，其中包含在 LLVM 16 上正常运行所需的补丁，并且 LLVM 15 及更早版本中不存在已知的 UB。如果使用 Rust 1.69 及之前版本（使用 LLVM 15）编译 Wasmtime，则不存在已知问题。然而，理论上还是存在未定义行为被利用的可能性，因此建议用户升级到 Wasmtime 的修补版本。使用 beta 版 Rust（此时为 1.70 ）或夜间版 Rust（此时为 1.71 ）的用户必须更新到修补版本才能继续正常使用。(CVE-2023-30624)

  - c-ares 是一种异步解析器库。当交叉编译 c-ares 并使用 Autotools 构建系统时，与交叉编译 aarch64 android 一样，无需设置 CARES_RANDOM_FILE。这会导致降级使用 rand() 作为回退，让攻击者无需使用 CSPRNG 即可利用缺少熵的情况。已在版本 1.19.1 中修补此问题。(CVE-2023-31124)

  - c-ares 是一个异步解析器库。ares_inet_net_pton() 容易受到某些 ipv6 地址的缓冲区下溢漏洞影响，尤其是 0: : 00: 00: 00/2 会造成问题。C-ares 仅处于配置目的在内部使用此函数，而这需要管理员通过 ares_set_sortlist() 配置此类地址。但是，用户可能出于其他目的而在外部使用 ares_inet_net_pton()，因此容易受到更严重问题的影响。已在 1.19.1 中修复此问题。(CVE-2023-31130)

  - c-ares 是一种异步解析器库。当 /dev/urandom 或 RtlGenRandom() 不可用时，c-ares 会使用 rand() 生成用于 DNS 查询 ID 的随机数。这不是 CSPRNG，也不是由 srand() 植入，因此将生成可预测的输出。来自随机数生成器的输入被馈送给不合规的 RC4 实现，并且可能不如原始 RC4 实现。未尝试查找现代操作系统提供的 CSPRNG，例如广泛可用的 arc4random()。此问题已在 1.19.1 版本中修复。(CVE-2023-31147)

  - c-ares 是一个异步解析器库。c-ares 容易遭受拒绝服务攻击。如果目标解析器发送查询，攻击者便会伪造长度为 0 的畸形 UDP 数据包并将其返回给目标解析器。目标解析器将 0 长度错误地解释为正常关闭连接。已在版本 1.19.1 中修补此问题。(CVE-2023-32067)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，恶意客户端能够在某些特定情况下构建永久有效的凭据。这是由一些罕见的情况引起的，在这些情况下，HMAC 负载在 OAuth2 过滤器的检查中始终有效。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案是，避免在主机的域配置中使用通配符/前缀域通配符。(CVE-2023-35941)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，使用侦听器全局范围的 gRPC 访问记录器在耗尽侦听器时，可造成“释放后使用”崩溃。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案为禁用 gRPC 访问日志或停止侦听器更新。
    (CVE-2023-35942)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 的版本中，当移除“origin”标头并在“decodeHeaders”和“encodeHeaders”之间删除时，CORS 过滤器将出现段错误并导致 Envoy 崩溃。1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版包含针对此问题的修复程序。变通方案为，请勿删除 Envoy 配置中的“origin”标头。(CVE-2023-35943)

  - Envoy 是一款专为云原生应用程序设计的开源 Edge 和服务代理。Envoy 允许 HTTP/2 中存在混合大小写的方案，但是某些内部方案检查会区分大小写。在低于 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 之前的版本中，这可导致拒绝含有大小写混合方案的请求（例如“htTp”或“htTps”），或绕过某些请求（例如未加密连接中的“https”）。
    通过 1.27.0、1.26.4、1.25.9、1.24.10 和 1.23.12 版本中的补丁，Envoy 现在将默认以小写方式处理方案值，并将区分大小写的内部方案检查更改为不区分大小写。
    目前尚无针对此问题的解决方案。(CVE-2023-35944)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
182066	Amazon Linux 2 : ecs-service-connect-agent (ALASECS-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2023/9/28	critical
181703	Amazon Linux 2023 : ecs-service-connect-agent (ALAS2023-2023-344)	Nessus	Amazon Linux Local Security Checks	2023/9/20	2023/9/21	critical
182066	Amazon Linux 2 : ecs-service-connect-agent (ALASECS-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2023/9/28	critical
181703	Amazon Linux 2023 : ecs-service-connect-agent (ALAS2023-2023-344)	Nessus	Amazon Linux Local Security Checks	2023/9/20	2023/9/21	critical
181703	Amazon Linux 2023：ecs-service-connect-agent (ALAS2023-2023-344)	Nessus	Amazon Linux Local Security Checks	2023/9/20	2023/9/21	critical
182066	Amazon Linux 2：ecs-service-connect-agent (ALASECS-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2023/9/28	critical
181703	Amazon Linux 2023：ecs-service-connect-agent (ALAS2023-2023-344)	Nessus	Amazon Linux Local Security Checks	2023/9/20	2023/9/21	critical
182066	Amazon Linux 2：ecs-service-connect-agent (ALASECS-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2023/9/28	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical