遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2024-0121 公告中提及的多個弱點影響。

  - 在 Go 1.18.6 之前版本和 1.19.1 之前的 1.19.x 版中，攻擊者可在 net/http 中造成拒絕服務，這是因爲如果嚴重錯誤先於關機操作執行，則 HTTP/2 連線可能在關閉期間懸置。(CVE-2022-27664)

  - QUIC 連線在讀取交握後訊息時，未設定緩衝資料量的上限，進而允許惡意 QUIC 連線造成記憶體無限增長。修正後，連線現在會持續拒絕大小超過 65KiB 的訊息。(CVE-2023-39322)

  - 憑證鏈結中的 RSA 金鑰過大可造成用戶端/伺服器花費大量 CPU 時間來驗證簽章。修正後，交握期間傳輸的 RSA 金鑰大小會被限制為不超過 8192 個位元。根據對公開信任的 RSA 金鑰進行的調查，目前只有三個憑證的金鑰超過此大小，而且這三個憑證似乎都是未主動部署的測試憑證。私用 PKI 中可能會使用更大的金鑰，但我們的目標是 Web PKI，因此為了提高 crypto/tls 使用者的預設安全性，在此中斷使用似乎是合理做法。(CVE-2023-29409)

  - Reader.Read 未設定檔案標頭的大小上限。攻擊者可透過惡意特製的封存造成 Read 配置無限量的記憶體，這可能引致資源耗盡或錯誤。
    修正後，Reader.Read 會將標頭區塊的大小上限限制為 1 MiB。(CVE-2022-2879)

  - html/template 套件未正確處理類似 HTML 的註解 Token，也未正確處理 <script> 情境中的 hashbang #! 註解 Token。這可能會造成範本剖析器不當解譯 <script> 情境的內容，進而導致動作不當逸出。攻擊者可能會利用此弱點來執行 XSS 攻擊。(CVE-2023-39318)

  - 處理 QUIC 連線的不完整交握後訊息可造成錯誤。(CVE-2023-39321)

  - ReverseProxy 轉送的要求包含來自傳入要求的原始查詢參數，包括 net/http 拒絕的無法剖析的參數。當 Go Proxy 轉送具有無法剖析的值的參數時，可以觸發查詢參數走私。修正後，在 ReverseProxy 之後設定傳出要求的 Form 欄位時，ReverseProxy 會清理轉送的查詢中的查詢參數。Director 函式傳回，表示 Proxy 已剖析此查詢參數。不剖析查詢參數的 Proxy 會繼續原封不動地轉送原始查詢參數。(CVE-2022-2880)

  - 編譯來自非受信任來源的規則運算式的程式可能容易受到記憶體耗盡或拒絕服務攻擊。剖析的規則運算式的表示法與輸入的大小成線性關係，但在某些情況下，常數因子可高達 40,000，使得相對較小的 regexp 會消耗大量記憶體。修正後，將每個要剖析的規則運算式的記憶體佔用量都限制為 256 MB。如果表示法佔用的空間超過限制，此規則運算式會遭到拒絕。正常使用的規則運算式不受影響。(CVE-2022-41715)

  - html/範本套件未套用正確的規則來處理 <script, <!-- 的發生和 </script within JS literals in ><script> 情景。這可能會造成範本剖析器錯誤地認為指令碼上下文被提前終止，進而導致動作不當逸出。攻擊者可利用此弱點來執行 XSS 攻擊。(CVE-2023-39319)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 8：container-tools：4.0 (ELSA-2024-0121)

high Nessus Plugin ID 188033

版本 1.1

版本 1.0

版本 1.1 Jan 20, 2024, 1:07 AM Detection (updated detection logic) Plugin Feed: 202401200107
版本 1.0 Jan 13, 2024, 9:32 AM New Plugin Feed: 202401130932