遠端 MiracleLinux 9 主機已安裝受到多個弱點影響的套件如 AXSA:2023-6548:02 公告中所提及。

    rhel9/toolbox 容器影像可搭配 Toolbox 使用以取得 RHEL 型容器化命令行環境進而協助開發和軟體測試。Toolbox 建置在 Podman 和其他來自 OCI 的標準容器技術之上。
    這會更新 Cybertrust Japan Co., Ltd. 容器登錄檔中的 rhel9/toolbox 影像。
    若要提取此容器影像，請執行下列其中一個命令：
    podman pullregistry.redhat.io/rhel9/toolbox (經驗證) podman pullregistry.access.redhat.com/ubi9/toolbox (未驗證) CVE-2023-39325 快速建立要求並立即重設要求的惡意 HTTP/2 用戶端可造成伺服器資源消耗。雖然要求總數受到 http2.Server.MaxConcurrentStreams 設定的限制，但重設進行中的要求讓攻擊者可在現有要求仍在執行時建立新要求。套用修正後，HTTP/2 伺服器現在會將同時執行的處置程式 goroutine 的數量限制為資料流並行限制 (MaxConcurrentStreams)。達到限制時到達的新要求 (只有在用戶端重設現有的執行中要求後才會發生) 將會排入佇列，直到處理常式結束。如果要求佇列變得過大，伺服器會終止連線。對於手動設定 HTTP/2 的使用者，此問題也已在 golang.org/x/net/http2 中修正。預設的資料流並行限制為每個 HTTP/2 連線 250 個資料流 (要求)。此值可使用 golang.org/x/net/http2 套件調整請參閱 Server.MaxConcurrentStreams 設定和 ConfigureServer 函式。
    CVE-2023-44487 HTTP/2 通訊協定允許拒絕服務 (伺服器資源消耗)因為要求取消可快速重設許多串流如在 2023 年 8 月到 2023 年 10 月間在環境中遭到惡意利用即為一例。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 9toolbox-0.0.99.3-10.el9 (AXSA:2023-6548:02)

medium Nessus Plugin ID 292297

版本 1.2