Azure Linux 3.0 安全性更新gh (CVE-2024-53859)

high Nessus Plugin ID 296068

語言:

概要

遠端 Azure Linux 主機缺少一個或多個安全性更新。

說明

遠端 Azure Linux 3.0 主機上安裝的 gh 版本比測試版本舊。因此，它會受到 CVE-2024-53859 公告中提及的一個弱點影響。

- go-gh 是一種用於從命令行與 `gh` 公用程式和 GitHub API 互動的 Go 模組。在「go-gh」中發現一個安全性弱點當處於程式碼空間內時可能會將預定用於 GitHub 主機的驗證 token 洩漏給非 GitHub 主機。 `go-gh` 從不同的環境變數中取得驗證 token 的來源取決於所涉及的主機 1. GitHub.com 和 ghe.com 的 `GITHUB_TOKEN`、`GH_TOKEN`以及 2. GitHub Enterprise Server 的 `GITHUB_ENTERPRISE_TOKEN`、`GH_ENTERPRISE_TOKEN`。在 `2.11.1` 版本之前當位於程式碼空間內時`auth.TokenForHost` 可從 GitHub.com 或 ghe.com 以外的主機之 `GITHUB_TOKEN` 環境變數取得 token。在 `2.11.1` 版本中對於 GitHub.com 或 ghe.com 主機`auth.TokenForHost` 將只從 `GITHUB_TOKEN` 環境變數取得 token。成功的惡意利用可將驗證 token 傳送至非預定的主機。此問題已在