Amazon Linux 2：perl-HTTP-Daemon (ALAS-2024-2405)

medium Nessus 插件 ID 187834

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 perl-HTTP-Daemon 版本低于 6.01-8。因此，该应用程序受到 ALAS2-2024-2405 公告中提及的漏洞的影响。

- HTTP: : Daemon 是用 perl 编写的简单 http 服务器类。 6.15 之前的版本存在漏洞，攻击者可能利用此漏洞获取对 API 的访问特权或使造成中间缓存中毒。不确定风险有多大，大多数基于 Perl 的应用程序都在 Nginx 或 Apache 上运作，而不是在 `HTTP: : Daemon`上。此库通常用于本地开发和测试。建议用户通过更新来解决此问题。无法升级的用户可添加额外的请求处理逻辑作为缓解措施。在调用 `my $rqst = $conn->get_request()` 之后，可以检查返回的 `HTTP: : Request` 对象。查询“Content-Length”(`my $cl = $rqst->header('Content-Length')`) 时，将显示应由“400”响应处理的任何异常。预期的“Content-Length”字符串应包含单个非负整数或以逗号分隔的该数字的重复形式。（即 `42` 或 `42, 42, 42`）。必须拒绝其他任何内容。(CVE-2022-31081)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。