RHEL 8:Red Hat OpenShift Service Mesh 2.0.9 (RHSA-2022: 1276)

critical Nessus 插件 ID 159603

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022: 1276 公告中提及的多个漏洞影响。

- golang.org/x/text:解析 -u- 扩展时,language.ParseAcceptLanguage 中发生错误 (CVE-2020-28851)

- golang.org/x/text:处理 bcp47 标记时,language.ParseAcceptLanguage 中发生错误 (CVE-2020-28852)

- ulikunitz/xz:readUvarint 中的无限循环漏洞允许造成拒绝服务 (CVE-2021-29482)

- golang:net: 错误地解析 IP 地址 octet 开头的无关零字符 (CVE-2021-29923)

- gogo/protobuf:plugin/unmarshal/unmarshal.go 缺少某些索引验证 (CVE-2021-3121)

- golang:net/http/httputil:由于在处理程序发生异常后恶意读取 persistConn 而导致异常 (CVE-2021-36221)

- nodejs-axios:trim 函数中的正则表达式拒绝服务 (CVE-2021-3749)

- golang.org/x/crypto:空明文数据包可导致错误 (CVE-2021-43565)

- envoy:使用 JWT 过滤器 safe_regex 匹配时,出现空指针取消引用问题 (CVE-2021-43824)

- envoy:响应过滤器增加响应数据时发生释放后使用 (CVE-2021-43825)

- envoy:通过 HTTP 传输 TCP 时发生释放后使用 (CVE-2021-43826)

- envoy:不正确的配置处理允许在未经重新验证的情况下重复使用 mTLS 会话 (CVE-2022-21654)

- envoy:使用直接响应条目错误处理指向路由的内部重定向 (CVE-2022-21655)

- envoy:通过集群发现服务删除集群时,发生堆栈耗尽 (CVE-2022-23606)

- istio:未经身份验证即发动控制平面拒绝服务攻击 (CVE-2022-23635)

- istio:由于堆栈耗尽,未经身份验证即发动控制平面拒绝服务攻击 (CVE-2022-24726)

请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的程序包。

另见

http://www.nessus.org/u?4f81c9fc

https://access.redhat.com/security/updates/classification/#important

https://access.redhat.com/errata/RHSA-2022:1276

https://bugzilla.redhat.com/show_bug.cgi?id=1913333

https://bugzilla.redhat.com/show_bug.cgi?id=1913338

https://bugzilla.redhat.com/show_bug.cgi?id=1921650

https://bugzilla.redhat.com/show_bug.cgi?id=1954368

https://bugzilla.redhat.com/show_bug.cgi?id=1992006

https://bugzilla.redhat.com/show_bug.cgi?id=1995656

https://bugzilla.redhat.com/show_bug.cgi?id=1999784

https://bugzilla.redhat.com/show_bug.cgi?id=2030787

https://bugzilla.redhat.com/show_bug.cgi?id=2050744

https://bugzilla.redhat.com/show_bug.cgi?id=2050746

https://bugzilla.redhat.com/show_bug.cgi?id=2050748

https://bugzilla.redhat.com/show_bug.cgi?id=2050753

https://bugzilla.redhat.com/show_bug.cgi?id=2050757

https://bugzilla.redhat.com/show_bug.cgi?id=2050758

https://bugzilla.redhat.com/show_bug.cgi?id=2057277

https://bugzilla.redhat.com/show_bug.cgi?id=2061638

插件详情

严重性: Critical

ID: 159603

文件名: redhat-RHSA-2022-1276.nasl

版本: 1.9

类型: local

代理: unix

发布时间: 2022/4/8

最近更新时间: 2024/4/28

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.9

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2021-3121

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2022-21654

漏洞信息

CPE: cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:kiali, p-cpe:/a:redhat:enterprise_linux:servicemesh, p-cpe:/a:redhat:enterprise_linux:servicemesh-istioctl, p-cpe:/a:redhat:enterprise_linux:servicemesh-mixc, p-cpe:/a:redhat:enterprise_linux:servicemesh-mixs, p-cpe:/a:redhat:enterprise_linux:servicemesh-pilot-agent, p-cpe:/a:redhat:enterprise_linux:servicemesh-pilot-discovery, p-cpe:/a:redhat:enterprise_linux:servicemesh-prometheus, p-cpe:/a:redhat:enterprise_linux:servicemesh-proxy

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

可利用: true

易利用性: Exploits are available

补丁发布日期: 2022/4/7

漏洞发布日期: 2020/12/3

参考资料信息

CVE: CVE-2020-28851, CVE-2020-28852, CVE-2021-29482, CVE-2021-29923, CVE-2021-3121, CVE-2021-36221, CVE-2021-3749, CVE-2021-43565, CVE-2021-43824, CVE-2021-43825, CVE-2021-43826, CVE-2022-21654, CVE-2022-21655, CVE-2022-23606, CVE-2022-23635, CVE-2022-24726

CWE: 129, 20, 287, 362, 367, 400, 416, 476, 670, 770

IAVB: 2020-B-0071-S, 2021-B-0047-S

RHSA: 2022:1276