Oracle Linux 9：containernetworking-plugins (ELSA-2023-2367)

low Nessus Plugin ID 175690

語系：

概要

遠端 Oracle Linux 主機缺少一個或多個安全性更新。

說明

遠端 Oracle Linux 9 主機上有一個套件受到 ELSA-2023-2367 公告中提及的多個弱點影響。

- 在 Go 1.17.11 之前版本和 1.18.3 版本中，crypto/tls 爲工作階段票證中的 ticket_age_add 使用非隨機值，因此，可觀察 TLS 交握的攻擊者能夠透過在工作階段恢復期間比較票證期限來關聯連續的連線。(CVE-2022-30629)

- 攻擊者可在接受 HTTP/2 要求的 Go 伺服器中造成記憶體過度增長。HTTP/2 伺服器連線包含用戶端傳送的 HTTP 標頭金鑰快取。雖然此快取中的項目總數設有上限，但攻擊者如果傳送非常大的金鑰，即可造成伺服器為每個開啟的連線配置大約 64 MiB。(CVE-2022-41717)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

更新受影響的 containernetworking-plugins 套件。

另請參閱

https://linux.oracle.com/errata/ELSA-2023-2367.html

Plugin 詳細資訊

嚴重性: Low

ID: 175690

檔案名稱: oraclelinux_ELSA-2023-2367.nasl

版本: 1.0

類型: local

代理程式: unix

系列: Oracle Linux Local Security Checks

已發布: 2023/5/15

已更新: 2023/5/15

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Low

分數: 2.2

CVSS v2

風險因素: Low

基本分數: 2.6

時間分數: 2

媒介: CVSS2#AV:N/AC:H/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: CVE-2022-30629

CVSS v3

風險因素: Low

基本分數: 3.1

時間分數: 2.8

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: cpe:/o:oracle:linux:9, p-cpe:/a:oracle:linux:containernetworking-plugins

必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2023/5/15

弱點發布日期: 2022/6/7

參考資訊

CVE: CVE-2022-30629, CVE-2022-41717

IAVB: 2022-B-0059-S