Amazon Linux 2：perl-HTTP-Daemon (ALAS-2024-2405)

medium Nessus Plugin ID 187834

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 perl-HTTP-Daemon 版本低於 6.01-8，因此，它受到 ALAS2-2024-2405 公告中提及的一個弱點影響。

- HTTP: : Daemon 是以 perl 編寫的簡單 http 伺服器類別。 6.15 之前的版本存在弱點，攻擊者可利用此弱點取得對 API 的存取權限或毒害中繼快取。不確定風險有多大，大多數 Perl 型應用程式是在 Nginx 或 Apache 上運作，而不是在 HTTP: : Daemon 上。此程式庫常用於本機開發和測試。建議使用者更新以解決此問題。無法升級的使用者可新增額外的要求處理邏輯作為緩解措施。在呼叫「my $rqst = $conn->get_request()」之後，可以檢查傳回的「HTTP: : Request」物件。查詢「Content-Length」(「my $cl = $rqst->header('Content-Length')」) 將顯示應由「400」回應處理的任何異常情況。預期的「Content-Length」字串應包含單一非負整數，或以逗號分隔的該數字的重複形式。(即「42」或「42, 42, 42」)。必須拒絕其他任何項目。(CVE-2022-31081)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。