リモートのRedhat Enterprise Linux 7 / 8ホストにインストールされているパッケージは、RHSA-2020: 3369のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - jquery: DOM 操作メソッドへ渡される HTML の <option>タグを介した信頼されていないコード実行 (CVE-2020-11023)

  - macaron: 静的ハンドラーのオープンリダイレクト（CVE-2020-12666）

  - golang.org/x/text: 符号化における無限ループをトリガーする可能性/ユニコードがクラッシュにつながる可能性があります（CVE-2020-14040）

  - nodejs-lodash: zipObjectDeep関数のプロトタイプ汚染（CVE-2020-8203）

  - golang.org/x/crypto: 細工されたssh-ed25519公開鍵の処理により、パニックが発生する可能性があります（CVE-2020-9283）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

golang-go.cryptoは最近、CVE-2020-9283の修正で更新されました。
これには、セキュリティの修正を適用するために、影響を受けるコードを使用するすべてのパッケージの再コンパイルが必要です。

CVE-2020-9283

無効な公開鍵が与えられた場合、SSH署名の検証により、パニックが発生する可能性があります。

Debian 9「Stretch」では、この問題はバージョン0.3.3-1+deb9u1で修正されています。

お使いのresticパッケージをアップグレードすることを推奨します。

resticの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/restic

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2019-11840

Golang-googlecode-go-cryptoとして知られる補助的なGo暗号化ライブラリで問題が発見されました。256GiBを超えるキーストリームが生成された場合、またはカウンターが32ビットを超えて増加した場合、amd64の実装はまず不適切な出力を生成し、次に以前に生成されたキーストリームに戻ります。keystreamバイトが繰り返されると、暗号化アプリケーションの機密性が失われたり、CSPRNGアプリケーションが予測しやすくなったりする可能性があります。

CVE-2019-11841

補助的なGo暗号化ライブラリのcrypto/openpgp/clearsign/clearsign.goでメッセージ偽造の問題が発見されました。「Hash」Armor Headerは、署名に使用されるメッセージダイジェストアルゴリズムを指定します。一般に、ライブラリは Armor Header解析をスキップするため、攻撃者は任意のArmorヘッダーを埋め込むだけでなく、署名を無効にせずに任意のテキストをクリアテキストメッセージの先頭に追加することができます。

CVE-2020-9283

golang.org/x/cryptoでは、golang.org/x/crypto/sshパッケージの署名認証中にパニックが発生する可能性があります。クライアントは公開鍵を受け入れるSSHサーバーを攻撃できます。また、サーバーは任意のSSHクライアントを攻撃できます。

Debian 9「Stretch」では、これらの問題はバージョン1:0.0~git20170407.0.55a552f+REALLY.0.0~git20161012.0.5f31782-1+deb8u1で修正されています。

お使いのgolang-go.cryptoパッケージをアップグレードすることを推奨します。

golang-go.cryptoの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/golang-go.crypto

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

golang-go.cryptoは最近、CVE-2020-9283の修正で更新されました。
これには、セキュリティの修正を適用するために、影響を受けるコードを使用するすべてのパッケージの再コンパイルが必要です。

CVE-2020-9283

無効な公開鍵が与えられた場合、SSH署名の検証により、パニックが発生する可能性があります。

Debian 9「Stretch」では、この問題はバージョン0.10.2+dfsg-6+deb9u1で修正されています。

お使いのpackerパッケージをアップグレードすることを推奨します。

packerの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/packer

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 10 ホストには、dla-3455 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2019-03-20 以前の Golang-googlecode-go-crypto として知られる補助的な Go 暗号化ライブラリで問題が発見されました。golang.org/x/crypto/salsa20 および golang.org/x/crypto/salsa20/salsa の amd64 実装に欠陥が見つかりました。256 GiB を超えるキーストリームが生成された場合、またはカウンターが 32 ビットを超えて増加した場合、amd64 の実装はまず不適切な出力を生成し、次に以前に生成されたキーストリームに戻ります。keystream バイトが繰り返されると、暗号化アプリケーションの機密性が失われたり、CSPRNG アプリケーションが予測しやすくなったりする可能性があります。(CVE-2019-11840)

  - 補助的な Go 暗号化ライブラリ 2019-03-25 の crypto/openpgp/clearsign/clearsign.go でメッセージ偽造の問題が発見されました。RFC 4880 第 7 章の OpenPGP Message Format 仕様によると、平文の署名付きメッセージには、1 つ以上のオプションの Hash Armor Header を含めることができます。Hash Armor Header は、署名に使用されるメッセージダイジェストアルゴリズムを指定します。しかし、Go clearsign パッケージは、このヘッダーの値を無視します。これにより、攻撃者がスプーフィングを行う可能性があります。その結果、攻撃者は、実際に使用されたものとは異なるメッセージダイジェストアルゴリズムを使用して署名が生成されたと被害者に信じ込ませる可能性があります。加えて、一般に、ライブラリは Armor Header 解析をスキップするため、攻撃者は任意の Armor Header を埋め込むだけでなく、署名を無効にせずに任意のテキストをクリアテキストメッセージの先頭に追加することができます。(CVE-2019-11841)

  - Go の v0.0.0-20200220183623-bac4c82f6975 以前の golang.org/x/crypto では、golang.org/x/crypto/ssh パッケージの署名認証中にパニックが発生する可能性があります。クライアントは公開鍵を受け入れる SSH サーバーを攻撃できます。また、サーバーは任意の SSH クライアントを攻撃できます。(CVE-2020-9283)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
139385	RHEL 7/8：Red Hat OpenShift Service Mesh（RHSA-2020: 3369)	Nessus	Red Hat Local Security Checks	2020/8/7	2024/4/28	high
142936	Debian DLA-2453-1: resticセキュリティ更新	Nessus	Debian Local Security Checks	2020/11/17	2024/2/8	high
141271	Debian DLA-2402-1: golang-go.cryptoセキュリティ更新	Nessus	Debian Local Security Checks	2020/10/8	2023/12/21	medium
143109	Debian DLA-2455-1: packerセキュリティ更新	Nessus	Debian Local Security Checks	2020/11/19	2020/11/25	high
177400	Debian DLA-3455-1：golang-go.crypto - LTS のセキュリティ更新	Nessus	Debian Local Security Checks	2023/6/16	2023/12/8	medium

検出

プラグインの検索

high

high

medium

high

medium