Amazon Linux 2023：perl-HTTP-Daemon、perl-HTTP-Daemon-tests (ALAS2023-2023-247)

medium Nessus Plugin ID 178537

語系：

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此會受到 ALAS2023-2023-247 公告中提及的一個弱點影響。

- HTTP: : Daemon 是以 perl 編寫的簡單 http 伺服器類別。 6.15 之前的版本存在弱點，攻擊者可利用此弱點取得對 API 的存取權限或毒害中繼快取。不確定風險有多大，大多數 Perl 型應用程式是在 Nginx 或 Apache 上運作，而不是在 HTTP: : Daemon 上。此程式庫常用於本機開發和測試。建議使用者更新以解決此問題。無法升級的使用者可新增額外的要求處理邏輯作為緩解措施。在呼叫「my $rqst = $conn->get_request()」之後，可以檢查傳回的「HTTP: : Request」物件。查詢「Content-Length」(「my $cl = $rqst->header('Content-Length')」) 將顯示應由「400」回應處理的任何異常情況。預期的「Content-Length」字串應包含單一非負整數，或以逗號分隔的該數字的重複形式。(即「42」或「42, 42, 42」)。必須拒絕其他任何項目。(CVE-2022-31081)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。