Azure Linux 3.0 安全性更新cloud-hypervisor / edk2 / hvloader / openssl / rust (CVE-2023-0215)
critical Nessus Plugin ID 215252
語言:
概要
遠端 Azure Linux 主機缺少一個或多個安全性更新。說明
遠端 Azure Linux 3.0 主機上安裝的 cloud-hypervisor / edk2 / hvloader / openssl / rust 版本比測試版舊。因此，此版本會受到 CVE-2023-0215 公告中提及的一個弱點影響。- 公開 API 函式 BIO_new_NDEF 是用於透過 BIO 串流 ASN.1 資料的協助程式函式。此函式主要用於 OpenSSL 內部，以支援 SMIME、CMS 和 PKCS7 串流功能，但也可能由終端使用者應用程式直接呼叫。此函式會接收來自呼叫者的 BIO，並在前面附加新的 BIO_f_asn1 篩選器 BIO 以形成 BIO 鏈結，然後將 BIO 鏈結的新標頭傳回給呼叫者。在某些情況下，例如，如果 CMS 收件人公開金鑰無效，則新篩選器 BIO 會被釋放，並且該函式會傳回 NULL 結果，表明失敗。但在此情況下，BIO 鏈結未經正確清理，且呼叫者傳送的 BIO 仍保留先前釋放的篩選器 BIO 的內部指標。如果呼叫者接著呼叫 BIO 上的 BIO_pop()，則會發生釋放後使用。這很可能會導致當機。內部函式 B64_write_ASN1() 會直接發生此狀況其可能造成系統呼叫 BIO_new_NDEF()且隨後會呼叫 BIO 上的 BIO_pop()。此內部函式會接著由公開 API 函式 PEM_write_bio_ASN1_stream、PEM_write_bio_CMS_stream、PEM_write_bio_PKCS7_stream、SMIME_write_ASN1、SMIME_write_CMS 和 SMIME_write_PKCS7 呼叫。可能受此問題影響的其他公開 API 函式包括 i2d_ASN1_bio_stream、BIO_new_CMS、BIO_new_PKCS7、i2d_CMS_bio_stream 和 i2d_PKCS7_bio_stream。OpenSSL cms 和 smime 命令行應用程式受到類似影響。(CVE-2023-0215)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 215252
檔案名稱: azure_linux_CVE-2023-0215.nasl
版本: 1.1
類型: local
已發布: 2025/2/10
已更新: 2025/2/10
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 5.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2023-0215
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: Critical
Base Score: 9.3
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
弱點資訊
CPE: p-cpe:/a:microsoft:azure_linux:rust-debuginfo, p-cpe:/a:microsoft:azure_linux:edk2-ovmf-xen, x-cpe:/o:microsoft:azure_linux, p-cpe:/a:microsoft:azure_linux:openssl-static, p-cpe:/a:microsoft:azure_linux:edk2-experimental, p-cpe:/a:microsoft:azure_linux:edk2-ext4, p-cpe:/a:microsoft:azure_linux:edk2-ovmf-ia32, p-cpe:/a:microsoft:azure_linux:openssl, p-cpe:/a:microsoft:azure_linux:openssl-devel, p-cpe:/a:microsoft:azure_linux:edk2-tools-python, p-cpe:/a:microsoft:azure_linux:openssl-libs, p-cpe:/a:microsoft:azure_linux:openssl-debuginfo, p-cpe:/a:microsoft:azure_linux:openssl-perl, p-cpe:/a:microsoft:azure_linux:edk2-ovmf, p-cpe:/a:microsoft:azure_linux:cloud-hypervisor, p-cpe:/a:microsoft:azure_linux:edk2-tools-doc, p-cpe:/a:microsoft:azure_linux:rust-doc, p-cpe:/a:microsoft:azure_linux:edk2-tools, p-cpe:/a:microsoft:azure_linux:rust, p-cpe:/a:microsoft:azure_linux:hvloader
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/AzureLinux/release, Host/AzureLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2024/8/13
弱點發布日期: 2023/2/7
參考資訊
CVE: CVE-2023-0215
IAVA: 2022-A-0518-S, 2023-A-0462-S