Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - goproxy v1.1 に、詳細不明なベクトルによるサービス拒否 (DoS) を引き起こす可能性のある問題が含まれていることがわかりました。(CVE-2023-37788)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2023:5009 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - golang: net/http: GOAWAY 送信後のサーバーエラーの処理 (CVE-2022-27664)

  - kube-apiserver: ImagePolicyWebhook 受付プラグインによって課せられたポリシーのバイパス (CVE-2023-2727)

  - kube-apiserver: ServiceAccount 受付プラグインにより課されたマウント可能なシークレットポリシーのバイパス実施 (CVE-2023-2728)

  - openshift: OCP および FIPS モード (CVE-2023-3089)

  - ovn: サービスモニター MAC フローはレート制限されていません (CVE-2023-3153)

  - golang.org/x/net/html: クロスサイトスクリプティング (CVE-2023-3978)

  - scipy: Py_FindObjects() 関数のメモリ解放後使用 (Use After Free) (CVE-2023-29824)

  - goproxy: 詳細不明なベクトルによるサービス拒否 (DoS)。(CVE-2023-37788)

  - golang: html/template: スクリプトコンテキスト内での HTML のようなコメントの不適切な処理 (CVE-2023-39318)

  - golang: html/template: スクリプトコンテキスト内での特別なタグの不適切な処理 (CVE-2023-39319)

  - golang: crypto/tls: QUIC 接続でポストハンドシェイクメッセージを処理する際のパニック (CVE-2023-39321)

  - golang: crypto/tls: バッファリングされたポストハンドシェイクの制限の欠如 (CVE-2023-39322)

  - golang: net/http、x/net/http2: ストリームの高速リセットが過剰な作業を引き起こす可能性があります (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2: 複数の HTTP/2 が有効な Web サーバーが、DDoS 攻撃 (Rapid Reset 攻撃) に対して脆弱です (CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:5407 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - goproxy: 詳細不明なベクトルによるサービス拒否 (DoS)。(CVE-2023-37788)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Red Hat Enterprise Linux CoreOS 4 ホストにインストールされているパッケージは、RHSA-2023: 5009 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.18.6より前の Go および 1.19.1より前の 1.19.xの net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - 1.8.0 より前の SciPy バージョンの Py_FindObjects() 関数でメモリ解放後使用 (Use After Free) の問題が発見されました。注意: 
    ベンダーと discoverer は、これはセキュリティの問題ではないことを示しています。(CVE-2023-29824)

  - Red Hat OpenShift Container Platform でコンプライアンスの問題が見つかりました。Red Hat は、FIPS モードが有効な場合に、使用中のすべての暗号モジュールが FIPS 検証済みではないことを発見しました。(CVE-2023-3089)

  - Open Virtual Network で、サービスモニター MAC が適切にレート制限を行わない欠陥が見つかりました。この問題により、攻撃者は、CoPP が有効で適切に構成されている展開などでサービス拒否を引き起こす可能性があります。(CVE-2023-3153)

  - goproxy v1.1 に、詳細不明なベクトルによるサービス拒否 (DoS) を引き起こす可能性のある問題が含まれていることがわかりました。(CVE-2023-37788)

  - html/template パッケージは、<script> コンテキストでは HTML のようなコメントトークンや、ハッシュタグ #! コメントトークンを適切に処理しません。このため、テンプレートパーサーが <script> コンテキストのコンテンツを不適切に解釈し、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性があります。(CVE-2023-39318)

  - html/template パッケージは、<script、<!--、</script within JS literals in ><script> コンテキストの発生を処理するための適切なルールを適用しません。このため、テンプレートパーサーがスクリプトコンテキストが早期に終了すると考えて、アクションが不適切にエスケープされる可能性があります。これが悪用され、XSS 攻撃が実行される可能性がありました。(CVE-2023-39319)

  - QUIC 接続用の不完全なハンドシェイク後メッセージを処理すると、パニックが発生する可能性があります。(CVE-2023-39321)

  - QUIC 接続は、ハンドシェイク後のメッセージを読み取る際にバッファリングされるデータ量に上限を設定しません。これにより、悪質な QUIC 接続が、無制限のメモリ増加を引き起こす可能性があります。修正により、接続は 65KiB を超えるメッセージを一貫して拒否するようになりました。(CVE-2023-39322)

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で構成するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - HTML 名前空間にないテキストノードが誤って文字通りにレンダリングされ、エスケープされるべきテキストがエスケープされません。これにより、XSS 攻撃が引き起こされる可能性があります。(CVE-2023-3978)

  - golang：net/http、x/net/http2：ストリームの高速リセットが過剰な作業を引き起こす可能性があります () (CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
226770	Linux Distros のパッチ未適用の脆弱性: CVE-2023-37788	Nessus	Misc.	2025/3/5	2025/8/18	high
194294	RHEL 8 / 9 : OpenShift Container Platform 4.14.0 (RHSA-2023:5009)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/8/15	medium
194303	RHEL 8 : openshift-gitops-kam (RHSA-2023:5407)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/8	high
189423	RHCOS 4 : OpenShift Container Platform 4.14.0 (RHSA-2023: 5009)	Nessus	Red Hat Local Security Checks	2024/1/24	2024/2/9	critical

検出

プラグインの検索

high

medium

high

critical