リモートの Fedora 39 ホストには、FEDORA-2024-f249b74f03 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。aiohttp を Web サーバーとして使用し、静的ルートを設定する場合、静的ファイルのルートパスを指定する必要があります。
    さらに、静的ルートディレクトリ外のシンボリックリンクをフォローするかどうかが「follow_symlinks」オプションによって決定される可能性があります。「follow_symlinks」が True に設定されている場合、ルートディレクトリ内でファイルの読み取りが行われているかどうかを確認する検証が行われません。このため、ディレクトリトラバーサルの脆弱性が発生し、シンボリックリンクが存在しない場合でもシステム上の任意のファイルへの認証されていないアクセスが発生する可能性があります。
    follow_symlinks を無効にし、リバースプロキシを使用することが推奨されます。バージョン 3.9.2 ではこの問題が修正されています。(CVE-2024-23334)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。Python HTTP パーサーのセキュリティに敏感な部分は、許容される文字セットのマイナーな違いを保持していました。このため、追加のリクエストのインジェクションから保護するために、エラー処理をトリガーしてプロキシのフレーム境界を確実に一致させる必要があります。さらに、検証を実行すると、他の無効な形式の入力の処理と一貫して処理されない例外が発生する可能性があります。インターネット標準の要求よりも寛大に処理すると、デプロイメント環境によってはリクエストのスマグリングが助長される可能性があります。処理されない例外により、アプリケーションサーバーやそのロギング機能で過剰なリソース消費が発生する可能性があります。この脆弱性は、CVE-2023-47627 の修正が不完全なために存在します。バージョン 3.9.2 では、この脆弱性が修正されています。(CVE-2024-23829)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:1536 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Ansible Automation Hub: galaxy-importer の安全でない tarfile の抽出 (CVE-2023-5189)

  - python-django: django.utils.text.Truncator でのサービス拒否の可能性 (CVE-2023-43665)

  - python-aiohttp: ヘッダー解析に関する HTTP パーサーにおける多数の問題 (CVE-2023-47627)

  - aiohttp: HTTP リクエストの変更 (CVE-2023-49081)

  - jinja2: ユーザー入力を xmlattr フィルターへのキーとして渡す際の HTML 属性インジェクション (CVE-2024-22195)

  - aiohttp: follow_symlinks のディレクトリトラバーサルの脆弱性 (CVE-2024-23334)

  - python-aiohttp: http リクエストのスマグリング (CVE-2024-23829)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2024-0ddda4c691 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。aiohttp を Web サーバーとして使用し、静的ルートを設定する場合、静的ファイルのルートパスを指定する必要があります。
    さらに、静的ルートディレクトリ外のシンボリックリンクをフォローするかどうかが「follow_symlinks」オプションによって決定される可能性があります。「follow_symlinks」が True に設定されている場合、ルートディレクトリ内でファイルの読み取りが行われているかどうかを確認する検証が行われません。このため、ディレクトリトラバーサルの脆弱性が発生し、シンボリックリンクが存在しない場合でもシステム上の任意のファイルへの認証されていないアクセスが発生する可能性があります。
    follow_symlinks を無効にし、リバースプロキシを使用することが推奨されます。バージョン 3.9.2 ではこの問題が修正されています。(CVE-2024-23334)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。Python HTTP パーサーのセキュリティに敏感な部分は、許容される文字セットのマイナーな違いを保持していました。このため、追加のリクエストのインジェクションから保護するために、エラー処理をトリガーしてプロキシのフレーム境界を確実に一致させる必要があります。さらに、検証を実行すると、他の無効な形式の入力の処理と一貫して処理されない例外が発生する可能性があります。インターネット標準の要求よりも寛大に処理すると、デプロイメント環境によってはリクエストのスマグリングが助長される可能性があります。処理されない例外により、アプリケーションサーバーやそのロギング機能で過剰なリソース消費が発生する可能性があります。この脆弱性は、CVE-2023-47627 の修正が不完全なために存在します。バージョン 3.9.2 では、この脆弱性が修正されています。(CVE-2024-23829)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:1640 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - golang: net/http/internal: HTTP リクエストによるリソース消費によるサービス拒否 (DoS) (CVE-2023-39326)

  - GitPython: ブラインドローカルファイルのインクルード (CVE-2023-41040)

  - axios: クッキーに保存されている機密データの漏洩 (CVE-2023-45857)

  - python-twisted: twisted.web の無秩序な HTTP パイプライン応答 (CVE-2023-46137)

  - python-aiohttp: ヘッダー解析に関する HTTP パーサーにおける多数の問題 (CVE-2023-47627)

  - python-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)

  - golang-fips/openssl: RSA ペイロードの暗号化および復号化コードでのメモリ漏洩 (CVE-2024-1394)

  - jinja2: ユーザー入力を xmlattr フィルターへのキーとして渡す際の HTML 属性インジェクション (CVE-2024-22195)

  - aiohttp: follow_symlinks のディレクトリトラバーサルの脆弱性 (CVE-2024-23334)

  - python-aiohttp: http リクエストのスマグリング (CVE-2024-23829)

  - Django: 「intcomma」テンプレートフィルターでのサービス拒否 (CVE-2024-24680)

  - python-django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0577-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。AIOHTTP の HTTP パーサーには、ヘッダー解析に関する多くの問題があり、リクエストのスマグリングを引き起こす可能性があります。このパーサーは、AIOHTTP_NO_EXTENSIONS が有効な場合 (または事前に構築されたホイールを使用していない場合) にのみ使用されます。このバグは、リリースバージョン 3.8.6 に含まれているコミット「d5c12ba89」で対処されています。ユーザーはアップグレードすることをお勧めします。これらの問題についての既知の回避策はありません。(CVE-2023-47627)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。影響を受ける aiohttp のバージョンには、http プロトコルの一貫性のない解釈に関するセキュリティ脆弱性があります。
    HTTP/1.1 は永続的なプロトコルです。Content-Length(CL) と Transfer-Encoding(TE) の両方のヘッダー値が存在する場合、HTTP を解析する 2 つのエンティティが間違った解釈をすることになり、この間違った解釈で他のソケットを汚染する可能性があります。考えられる概念実証 (POC) は、CL と TE ヘッダーの両方を受け入れるリバースプロキシ (フロントエンド) と、aiohttp をバックエンドとする設定が考えられます。
    aiohttp は chunked のあるものを解析するため、chunked123 を TE として渡すことができ、フロントエンドエンティティはこのヘッダーを無視して Content-Length を解析します。この脆弱性の影響は、認証ヘッダを渡すように他のユーザにソケットをポイズニングし、あらゆるプロキシルールをバイパスする可能性があることです。また、オープンリダイレクトが存在する場合、攻撃者がそれを組み合わせて、ランダムなユーザーを別のウェブサイトにリダイレクトし、リクエストをログする可能性があります。この脆弱性は、aiohttp のリリース 3.8.0 で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。(CVE-2023-47641)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。aiohttp を Web サーバーとして使用し、静的ルートを設定する場合、静的ファイルのルートパスを指定する必要があります。
    さらに、静的ルートディレクトリ外のシンボリックリンクをフォローするかどうかが「follow_symlinks」オプションによって決定される可能性があります。「follow_symlinks」が True に設定されている場合、ルートディレクトリ内でファイルの読み取りが行われているかどうかを確認する検証が行われません。このため、ディレクトリトラバーサルの脆弱性が発生し、シンボリックリンクが存在しない場合でもシステム上の任意のファイルへの認証されていないアクセスが発生する可能性があります。
    follow_symlinks を無効にし、リバースプロキシを使用することが推奨されます。バージョン 3.9.2 ではこの問題が修正されています。(CVE-2024-23334)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。Python HTTP パーサーのセキュリティに敏感な部分は、許容される文字セットのマイナーな違いを保持していました。このため、追加のリクエストのインジェクションから保護するために、エラー処理をトリガーしてプロキシのフレーム境界を確実に一致させる必要があります。さらに、検証を実行すると、他の無効な形式の入力の処理と一貫して処理されない例外が発生する可能性があります。インターネット標準の要求よりも寛大に処理すると、デプロイメント環境によってはリクエストのスマグリングが助長される可能性があります。処理されない例外により、アプリケーションサーバーやそのロギング機能で過剰なリソース消費が発生する可能性があります。この脆弱性は、CVE-2023-47627 の修正が不完全なために存在します。バージョン 3.9.2 では、この脆弱性が修正されています。(CVE-2024-23829)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:1878 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Update Infrastructure (RHUI) は、リポジトリとコンテンツの管理を可能にする、非常にスケーラブルで冗長性の高いフレームワークを提供します。また、クラウドプロバイダーは、Red Hat Enterprise Linux (RHEL) インスタンスにコンテンツと更新プログラムを提供できます。

    セキュリティ修正プログラム：

    * python-django: EmailValidator/URLValidator における正規表現によるサービス拒否の潜在的な脆弱性 (CVE-2023-36053)

    * python-aiohttp: llhttp HTTP リクエストパーサーを介した HTTP リクエストのスマグリング (CVE-2023-37276)

    * python-django:「django.utils.encoding.uri_to_iri()」での潜在的なサービス拒否の脆弱性 (CVE-2023-41164)

    * python-django: django.utils.text.Truncator でのサービス拒否の可能性 (CVE-2023-43665)

    * python-aiohttp: ヘッダー解析に関する HTTP パーサーにおける多数の問題 (CVE-2023-47627)

    * aiohttp: HTTP リクエストの変更 (CVE-2023-49081)

    * python-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)

    * jinja2: ユーザー入力を xmlattr フィルターへのキーとして渡す際の HTML 属性インジェクション (CVE-2024-22195)

    * aiohttp: follow_symlinks のディレクトリトラバーサルの脆弱性 (CVE-2024-23334)

    * python-ecdsa: Minerva 攻撃に対する脆弱性 (CVE-2024-23342)

    * python-aiohttp: http リクエストのスマグリング (CVE-2024-23829)

    * Django:「intcomma」テンプレートフィルターでのサービス拒否 (CVE-2024-24680)

    * python-django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)

    * aiohttp: ユーザーが aiohttp クライアントを使用して HTTP メソッドをコントロールする場合の CRLF インジェクション (CVE-2023-49082)

    この RHUI 更新では次のバグを修正します。

    * rhui-installer は、distutils の使用により RHEL 8.10 Beta 上で失敗しました。これは、distutils を使用しない新しいバージョンである ansible-collection-community-crypto に更新することで解決されました。

    この RHUI アップデートでは、次の機能強化が導入されています。

    * RHUI インストーラーが初めて実行されるとき、または任意の時点で再実行されるときに、RHUA サーバー上のパッケージを更新するためにネイティブの Ansible モジュールが使用されるようになりました。この更新は、rhui-installer コマンドラインで --ignore-newer-rhel-packages フラグを使用することで回避できます。

    * PulpCore は、バージョン 3.39 に更新されています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
189985	Fedora 39 : python-aiohttp (2024-f249b74f03)	Nessus	Fedora Local Security Checks	2024/2/5	2024/2/6	high
194355	RHEL 8 : Satellite 6.14.3 Async のセキュリティ更新 (重要度中) (RHSA-2024:1536)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/3	high
190327	Fedora 38 : python-aiohttp (2024-0ddda4c691)	Nessus	Fedora Local Security Checks	2024/2/8	2024/2/8	high
193086	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:1640)	Nessus	Red Hat Local Security Checks	2024/4/9	2024/6/3	high
190879	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: python-aiohttp, python-time-machine (SUSE-SU-2024:0577-1)	Nessus	SuSE Local Security Checks	2024/2/22	2024/2/23	high
193467	RHEL 8: RHUI 4.8 リリース - セキュリティの更新、バグ修正、拡張機能 (重要度中) (RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/5/29	high

検出

プラグインの検索

high

high

high

high

high

high