The version of amazon-cloudwatch-agent installed on the remote host is prior to 1.300044.0-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2024-2630 advisory.

    Azure Identity Libraries and Microsoft Authentication Library Elevation of Privilege Vulnerability     (CVE-2024-35255)

    The OpenTelemetry Collector offers a vendor-agnostic implementation on how to receive, process and export     telemetry data. An unsafe decompression vulnerability allows unauthenticated attackers to crash the     collector via excessive memory consumption. OTel Collector version 0.102.1 fixes this issue.  It is also     fixed in the confighttp module version 0.102.0 and configgrpc module version 0.102.1. (CVE-2024-36129)

    AWS is aware of CVE-2024-41110, an issue affecting the Moby open source project, packaged in Amazon Linux     as docker. Docker is a component of several open source container management systems.

    This issue does not affect the default configuration of docker. If an authorization plugin is enabled, a     specially-crafted API request to the docker daemon will be forwarded to the authorization plugin in a way     that could lead to unintended actions, such as privilege escalation. Enabling an authorization plugin is     an atypical configuration. The affected API endpoint is not exposed to the network in either the default,     typical, or recommended configurations. The default EKS and ECS configurations do not expose the API     endpoint to the network. Enabling a Docker authorization plugin is not supported when using ECS. Finally,     docker is not installed on EKS AMIs newer than 1.24. Although Docker is installed in EKS 1.24 and earlier,     EKS does not support authorization plugins.

    Updated docker packages addressing the issue are available for Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5     and docker-25.0.6-1.amzn2.0.1) and for Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1). AWS recommends     that customers using docker upgrade to these or later versions. (CVE-2024-41110)

    go-retryablehttp prior to 0.7.7 did not sanitize urls when writing them to its log file. This could lead     to go-retryablehttp writing sensitive HTTP basic auth credentials to its log file. This vulnerability,     CVE-2024-6104, was fixed in go-retryablehttp 0.7.7. (CVE-2024-6104)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The OpenTelemetry Collector offers a vendor-agnostic implementation on how to receive, process and export telemetry data. An unsafe decompression vulnerability allows unauthenticated attackers to crash the collector via excessive memory consumption. OTel Collector version 0.102.1 fixes this issue. It is also fixed in the confighttp module version 0.102.0 and configgrpc module version 0.102.1.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2024-708 advisory.

    Azure Identity Libraries and Microsoft Authentication Library Elevation of Privilege Vulnerability     (CVE-2024-35255)

    The OpenTelemetry Collector offers a vendor-agnostic implementation on how to receive, process and export     telemetry data. An unsafe decompression vulnerability allows unauthenticated attackers to crash the     collector via excessive memory consumption. OTel Collector version 0.102.1 fixes this issue.  It is also     fixed in the confighttp module version 0.102.0 and configgrpc module version 0.102.1. (CVE-2024-36129)

    AWS is aware of CVE-2024-41110, an issue affecting the Moby open source project, packaged in Amazon Linux     as docker. Docker is a component of several open source container management systems.

    This issue does not affect the default configuration of docker. If an authorization plugin is enabled, a     specially-crafted API request to the docker daemon will be forwarded to the authorization plugin in a way     that could lead to unintended actions, such as privilege escalation. Enabling an authorization plugin is     an atypical configuration. The affected API endpoint is not exposed to the network in either the default,     typical, or recommended configurations. The default EKS and ECS configurations do not expose the API     endpoint to the network. Enabling a Docker authorization plugin is not supported when using ECS. Finally,     docker is not installed on EKS AMIs newer than 1.24. Although Docker is installed in EKS 1.24 and earlier,     EKS does not support authorization plugins.

    Updated docker packages addressing the issue are available for Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5     and docker-25.0.6-1.amzn2.0.1) and for Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1). AWS recommends     that customers using docker upgrade to these or later versions. (CVE-2024-41110)

    go-retryablehttp prior to 0.7.7 did not sanitize urls when writing them to its log file. This could lead     to go-retryablehttp writing sensitive HTTP basic auth credentials to its log file. This vulnerability,     CVE-2024-6104, was fixed in go-retryablehttp 0.7.7. (CVE-2024-6104)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている amazon-cloudwatch-agent のバージョンは、1.300044.0-1 より前です。したがって、ALAS2-2024-2630 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Azure Identity ライブラリおよび Microsoft Authentication Library の権限昇格の脆弱性 (CVE-2024-35255)

    OpenTelemetry Collector は、テレメトリデータを受信、処理、エクスポートする方法に関して、ベンダーに依存しない実装を提供します。安全でない展開の脆弱性により、認証されていない攻撃者が過剰なメモリ消費を介してコレクターをクラッシュさせる可能性があります。OTel Collector バージョン 0.102.1 はこの問題を修正します。また、confighttp モジュールバージョン 0.102.0 および configgrpc モジュールバージョン 0.102.1 でも修正されています。(CVE-2024-36129)

    AWS は、CVE-2024-41110 を認識しています。これは、Amazon Linux で docker としてパッケージ化された Moby オープンソースプロジェクトに影響を与える問題です。Docker は、いくつかのオープンソースコンテナ管理システムのコンポーネントです。

    この問題は、docker のデフォルト設定には影響しません。認証プラグインが有効な場合、docker デーモンへの特別に細工された API リクエストが認証プラグインに転送され、権限昇格などの意図しないアクションが引き起こされる可能性があります。承認プラグインの有効化は、通常とは異なる設定です。影響を受ける API エンドポイントは、デフォルト、標準、推奨のいずれの構成でもネットワークに公開されていません。デフォルトの EKS および ECS 設定は、API エンドポイントをネットワークに公開しません。ECS を使用している場合、Docker 認証プラグインの有効化はサポートされていません。最後に、docker は 1.24 より新しい EKS AMI にはインストールされていません。Docker は 1.24 以前の EKS にインストールされていますが、EKS は認証プラグインをサポートしていません。

    この問題に対応する更新済みの docker パッケージが、Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 および docker-25.0.6-1.amzn2.0.1) および Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1) で利用可能です。AWS では、docker を使用しているお客様には、これらのバージョン以降にアップグレードすることを推奨しています。(CVE-2024-41110)

    0.7.7 より前の go-retryablehttp は、ログファイルに書き込む際に URL をサニタイズしませんでした。これにより、go-retryablehttp が機密性の高い HTTP 基本認証情報をログファイルに書き込む可能性があります。この脆弱性 CVE-2024-6104 は、go-retryablehttp 0.7.7 で修正されました。(CVE-2024-6104)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-708 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Azure Identity ライブラリおよび Microsoft Authentication Library の権限昇格の脆弱性 (CVE-2024-35255)

    OpenTelemetry Collector は、テレメトリデータを受信、処理、エクスポートする方法に関して、ベンダーに依存しない実装を提供します。安全でない展開の脆弱性により、認証されていない攻撃者が過剰なメモリ消費を介してコレクターをクラッシュさせる可能性があります。OTel Collector バージョン 0.102.1 はこの問題を修正します。また、confighttp モジュールバージョン 0.102.0 および configgrpc モジュールバージョン 0.102.1 でも修正されています。(CVE-2024-36129)

    AWS は、CVE-2024-41110 を認識しています。これは、Amazon Linux で docker としてパッケージ化された Moby オープンソースプロジェクトに影響を与える問題です。Docker は、いくつかのオープンソースコンテナ管理システムのコンポーネントです。

    この問題は、docker のデフォルト設定には影響しません。認証プラグインが有効な場合、docker デーモンへの特別に細工された API リクエストが認証プラグインに転送され、権限昇格などの意図しないアクションが引き起こされる可能性があります。承認プラグインの有効化は、通常とは異なる設定です。影響を受ける API エンドポイントは、デフォルト、標準、推奨のいずれの構成でもネットワークに公開されていません。デフォルトの EKS および ECS 設定は、API エンドポイントをネットワークに公開しません。ECS を使用している場合、Docker 認証プラグインの有効化はサポートされていません。最後に、docker は 1.24 より新しい EKS AMI にはインストールされていません。Docker は 1.24 以前の EKS にインストールされていますが、EKS は認証プラグインをサポートしていません。

    この問題に対応する更新済みの docker パッケージが、Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 および docker-25.0.6-1.amzn2.0.1) および Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1) で利用可能です。AWS では、docker を使用しているお客様には、これらのバージョン以降にアップグレードすることを推奨しています。(CVE-2024-41110)

    0.7.7 より前の go-retryablehttp は、ログファイルに書き込む際に URL をサニタイズしませんでした。これにより、go-retryablehttp が機密性の高い HTTP 基本認証情報をログファイルに書き込む可能性があります。この脆弱性 CVE-2024-6104 は、go-retryablehttp 0.7.7 で修正されました。(CVE-2024-6104)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

OpenTelemetry Collector は、テレメトリデータを受信、処理、エクスポートする方法に関して、ベンダーに依存しない実装を提供します。安全でない展開の脆弱性により、認証されていない攻撃者が過剰なメモリ消費を介してコレクターをクラッシュさせる可能性があります。OTel Collector バージョン 0.102.1 はこの問題を修正します。また、confighttp モジュールバージョン 0.102.0 および configgrpc モジュールバージョン 0.102.1 でも修正されています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

OpenTelemetry Collector 針對如何接收、處理和匯出遙測資料，提供與供應商無關的實作。不安全的解壓縮弱點允許未經驗證的攻擊者透過記憶體過度消耗來造成收集器損毀。OTel Collector 0.102.1 版已修復此問題。此問題也已在 confighttp 模組 0.102.0 版和 configgrpc 模組 0.102.1 版中修復。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2023-2024-708 公告中提及的多个漏洞影响。

    Azure Identity 库和 Microsoft 身份验证库特权提升漏洞 (CVE-2024-35255)

    OpenTelemetry Collector 提供了一种供应商无关的实现方式，用于接收、处理和导出遥测数据。不安全的解压缩漏洞可让未经身份验证的攻击者通过过量内存消耗造成收集器崩溃。OTel 收集器版本 0.102.1 修复了此问题。此问题也在 confighttp 模块版本 0.102.0 和 configgrpc 模块版本 0.102.1 中得以修复。(CVE-2024-36129)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 在将 URL 写入其日志文件时未对其进行审查。这可导致 go-retryablehttp 将敏感的 HTTP 基本认证凭据写入其日志文件。此漏洞 CVE-2024-6104 已在 go-retryablehttp 中修复 0.7.7。(CVE-2024-6104)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 amazon-cloudwatch-agent 版本低於 1.300044.0-1。因此，會受到 ALAS2-2024-2630 公告中所提及的多個弱點影響。

    Azure Identity Libraries 和 Microsoft Authentication Library 權限提升弱點 (CVE-2024-35255)

    OpenTelemetry Collector 針對如何接收、處理和匯出遙測資料，提供與供應商無關的實作。不安全的解壓縮弱點允許未經驗證的攻擊者透過記憶體過度消耗來造成收集器損毀。OTel Collector 0.102.1 版已修復此問題。此問題也已在 confighttp 模組 0.102.0 版和 configgrpc 模組 0.102.1 版中修復。(CVE-2024-36129)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致權限提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 未在將 url 寫入其記錄檔時對其進行清理，這可導致 go-retryablehttp 將敏感的 HTTP 基本驗證認證寫入其記錄檔。此弱點 CVE-2024-6104 已在 go-retryablehttp 0.7.7 中修正。(CVE-2024-6104)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2024-708 公告中所提及的多個弱點影響。

    Azure Identity Libraries 和 Microsoft Authentication Library 權限提升弱點 (CVE-2024-35255)

    OpenTelemetry Collector 針對如何接收、處理和匯出遙測資料，提供與供應商無關的實作。不安全的解壓縮弱點允許未經驗證的攻擊者透過記憶體過度消耗來造成收集器損毀。OTel Collector 0.102.1 版已修復此問題。此問題也已在 confighttp 模組 0.102.0 版和 configgrpc 模組 0.102.1 版中修復。(CVE-2024-36129)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致權限提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 未在將 url 寫入其記錄檔時對其進行清理，這可導致 go-retryablehttp 將敏感的 HTTP 基本驗證認證寫入其記錄檔。此弱點 CVE-2024-6104 已在 go-retryablehttp 0.7.7 中修正。(CVE-2024-6104)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 amazon-cloudwatch-agent 版本低于 1.300044.0-1。因此，它受到 ALAS2-2024-2630 公告中提及的多个漏洞影响。

    Azure Identity 库和 Microsoft 身份验证库特权提升漏洞 (CVE-2024-35255)

    OpenTelemetry Collector 提供了一种供应商无关的实现方式，用于接收、处理和导出遥测数据。不安全的解压缩漏洞可让未经身份验证的攻击者通过过量内存消耗造成收集器崩溃。OTel 收集器版本 0.102.1 修复了此问题。此问题也在 confighttp 模块版本 0.102.0 和 configgrpc 模块版本 0.102.1 中得以修复。(CVE-2024-36129)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 在将 URL 写入其日志文件时未对其进行审查。这可导致 go-retryablehttp 将敏感的 HTTP 基本认证凭据写入其日志文件。此漏洞 CVE-2024-6104 已在 go-retryablehttp 中修复 0.7.7。(CVE-2024-6104)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

OpenTelemetry Collector 提供了一种供应商无关的实现方式，用于接收、处理和导出遥测数据。不安全的解压缩漏洞可让未经身份验证的攻击者通过过量内存消耗造成收集器崩溃。OTel 收集器版本 0.102.1 修复了此问题。此问题也在 confighttp 模块版本 0.102.0 和 configgrpc 模块版本 0.102.1 中得以修复。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
206820	Amazon Linux 2 : amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
200525	OpenTelemetry Collector < 0.102.1 DoS	Nessus	Misc.	2024/6/14	2024/6/19	high
206817	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206820	Amazon Linux 2 : amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206817	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
200525	OpenTelemetry Collector < 0.102.1 DoS	Nessus	Misc.	2024/6/14	2024/6/19	high
200525	OpenTelemetry Collector < 0.102.1 DoS	Nessus	Misc.	2024/6/14	2024/6/19	high
206817	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206820	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206817	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206820	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
200525	OpenTelemetry Collector < 0.102.1 DoS	Nessus	Misc.	2024/6/14	2024/6/19	high

偵測

搜尋 Plugin

medium

high

medium

medium

medium

high

high

medium

medium

medium

medium

high