Amazon Linux 2023:apache-ivy、apache-ivy-javadoc (ALAS2023-2023-174)

critical Nessus 插件 ID 175079

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此,如公告 ALAS2023-2023-174 所述,该主机受到多个漏洞的影响。

- Apache Ivy 2.4.0 版中引入了一个可选的包装属性,可允许在使用 pack200 或 zip 包装时即时解包项目。对于使用 zip、jar 或 war 封装的构件,2.5.1 版之前的 Ivy 在提取存档文件时不验证目标路径。包含绝对路径或尝试使用 .. 序列向上遍历的路径的存档随后可以将文件写入执行 Ivy 的用户具有写入权限的本地文件系统上的任何位置。拥有版本 2.4.0 至 2.5.0 的 Ivy 用户应升级到 Ivy 2.5.1。(CVE-2022-37865)

- 当 Apache Ivy 从存储库下载构件时,它会根据用户提供的模式将其存储在本地文件系统中,该模式可能包含构件坐标的占位符,例如组织、模块或版本。如果所述坐标包含 ../ 序列(通常是 Ivy 坐标的有效字符),则这些构件可能存储在 Ivy 的本地缓存或存储库之外,或者可以覆盖本地缓存内的不同构件。为了利用此漏洞,攻击者需要远程存储库的协作,因为 Ivy 将发出包含 .. 序列的 http 请求,而普通存储库不会将它们解释为构件坐标的一部分。拥有版本 2.0.0 至 2.5.1 的 Apache Ivy 用户应升级到 Ivy 2.5.1。(CVE-2022-37866)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行“dnf update apache-ivy --releasever 2023.0.20230503”以更新系统。

另见

https://alas.aws.amazon.com/faqs.html

https://alas.aws.amazon.com/cve/html/CVE-2022-37865.html

https://alas.aws.amazon.com/cve/html/CVE-2022-37866.html

https://alas.aws.amazon.com/AL2023/ALAS-2023-174.html

插件详情

严重性: Critical

ID: 175079

文件名: al2023_ALAS2023-2023-174.nasl

版本: 1.0

类型: local

代理: unix

发布时间: 2023/5/3

最近更新时间: 2023/5/3

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.0

CVSS v2

风险因素: High

基本分数: 9.4

时间分数: 7

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C

CVSS 分数来源: CVE-2022-37865

CVSS v3

风险因素: Critical

基本分数: 9.1

时间分数: 7.9

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:amazon:linux:apache-ivy, p-cpe:/a:amazon:linux:apache-ivy-javadoc, cpe:/o:amazon:linux:2023

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2023/4/27

漏洞发布日期: 2022/11/7

参考资料信息

CVE: CVE-2022-37865, CVE-2022-37866