遠端 Azure Linux 3.0 主機上安裝的 azure-iot-sdk-c 版本比測試版舊。因此，此版本會受到 CVE-2024-29195 公告中提及的一個弱點影響。

  - azure-c-shared-utility 是一個 C 程式庫適用於與 Azure 雲端服務進行 AMQP/MQTT 通訊。Azure IoT C SDK 可能會使用此程式庫在 IoT Hub 和 IoT Hub 裝置之間進行通訊。攻擊者可惡意利用 Azure C SDK 中的緩衝區長度參數造成因參數檢查機制弱點導致的整數循環或配置不足或是堆積緩衝區溢位進而可能導致遠端程式碼執行。RCE 的要求為 1. 遭到入侵的 Azure 帳戶允許透過 IoT 集線器服務將格式錯誤的承載傳送至裝置2. 透過傳遞 IoT 集線器服務 128KB 的訊息承載上限限制以及 3. 能夠以遠端程式碼覆寫程式碼空間。已在認可中修正 https://github.com/Azure/azure-c-shared-utility/commit/1129147c38ac02ad974c4c701a1e01b2141b9fe2.(CVE-2024-29195)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Azure Linux 3.0 安全性更新azure-iot-sdk-c (CVE-2024-29195)

medium Nessus Plugin ID 233164

版本 1.1