したがって、ALAS2023-2023-282 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - gRPC HTTP2 スタックがヘッダーサイズ超過のエラーを発生させた際に、HPACK フレームの残りの解析をスキップしました。
    これにより、HPACK テーブルの変更もスキップされ、送信者と受信者の間で HPACK テーブルの非同期が発生しました。たとえば、これがプロキシとバックエンドの間で利用された場合、プロキシからのリクエストが、異なるプロキシクライアントからのヘッダーを含んでいると解釈される可能性があります。これにより、情報漏洩が発生し、権限昇格やデータ漏洩に利用される可能性があります。https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 に含まれるコミット以降にアップグレードすることをお勧めします (CVE-2023-32731)

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2023-15b3e80753 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2023-8570e0055b のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 37 ホストには、FEDORA-2023-6cad6e5003 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - gRPC には、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性がある脆弱性が含まれています。「-bin」サフィックス付きヘッダーの base64 エンコードエラーにより、gRPC サーバーにより切断が引き起こされますが、通常は HTTP2 によって許可されます。プロキシ。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0573-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - gRPC HTTP2 スタックがヘッダーサイズ超過のエラーを発生させた際に、HPACK フレームの残りの解析をスキップしました。
    これにより、HPACK テーブルの変更もスキップされ、送信者と受信者の間で HPACK テーブルの非同期が発生しました。たとえば、これがプロキシとバックエンドの間で利用された場合、プロキシからのリクエストが、異なるプロキシクライアントからのヘッダーを含んでいると解釈される可能性があります。これにより、情報漏洩が発生し、権限昇格やデータ漏洩に利用される可能性があります。https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 に含まれるコミット以降にアップグレードすることをお勧めします (CVE-2023-32731)

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

  - gRPC には、hpack テーブルアカウンティングエラーにより、例外的にクライアントとサーバー間の望ましくない切断が発生する可能性がある脆弱性が含まれています。次の DOS 攻撃を可能にする 3 つのベクトルが見つかりました。- HPACK パーサーでの無制限のメモリバッファリング。- HPACK パーサーでの無制限の CPU 消費。無制限の CPU 消費は、パーサーの入力ブロックごとに発生したコピーによるもので、メモリコピーのバグにより無制限になる可能性があるため、O(n^2) の解析ループになり、n がクライアントによって選択される可能性があります。無限メモリバッファリングのバグ: - ヘッダーのサイズ制限チェックは文字列読み取りコードの後ろにあったため、8kb や 16kb より長い文字列を拒否する前に、まず 4 ギガバイトまでの文字列をバッファリングする必要がありました。- HPACK 変数にはエンコーディング quirk があり、整数の先頭に無数の 0 を追加できます。gRPC  の hpack パーサーは、解析を終了する前にそれらすべてを読み取る必要がありました。- gRPC のメタデータオーバーフローチェックはフレームごとに実行されたため、次の一連のフレームによって無限バッファリングを引き起こす可能性がありました。HEADERS: containing a: 1 CONTINUATION: containing a: 2 CONTINUATION: containing a: 3 etc (CVE-2023-33953)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - posix 互換プラットフォーム (Linux など) 上の Google の gRPC バージョン 1.23 以降では TCP サーバーのエラー処理が欠如しているため、攻撃者がサーバーとの大量の接続を開始することでサービス拒否を引き起こす可能性があります。注意: gRPC C++ Python、Ruby は影響を受けますが、gRPC Java、Go は影響を受けません。(CVE-2023-4785)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
179767	Amazon Linux 2023 : grpc、grpc-cpp、grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical
178739	Fedora 38 : grpc (2023-15b3e80753)	Nessus	Fedora Local Security Checks	2023/7/23	2024/11/14	critical
185231	Fedora 39 : grpc (2023-8570e0055b)	Nessus	Fedora Local Security Checks	2023/11/7	2024/11/15	critical
178737	Fedora 37 : grpc (2023-6cad6e5003)	Nessus	Fedora Local Security Checks	2023/7/23	2024/11/14	critical
253154	Linux Distros のパッチ未適用の脆弱性: CVE-2023-32732	Nessus	Misc.	2025/8/21	2025/10/14	medium
190881	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: abseil-cpp、grpc、opencensus-proto、protobuf、python-abseil、python-grpcio、re2 (SUSE-SU-2024:0573-1)	Nessus	SuSE Local Security Checks	2024/2/22	2024/2/23	high

検出

プラグインの検索

critical

critical

critical

critical

medium

high