Amazon Linux 2023:c-ares、c-ares-devel (ALAS2023-2023-198)

high Nessus 插件 ID 176922

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此,它受到 ALAS2023-2023-198 公告中提及的多个漏洞影响。

- 在 c-ares 程序包中发现一个缺陷。ares_set_sortlist 缺少关于输入字符串有效性的检查,这可能允许任意长度的堆栈溢出。此问题可能导致拒绝服务,或对机密性和完整性造成有限的影响。(CVE-2022-4904)

- c-ares 是一种异步解析器库。当交叉编译 c-ares 并使用 Autotools 构建系统时,与交叉编译 aarch64 android 一样,无需设置 CARES_RANDOM_FILE。这会导致降级使用 rand() 作为回退,让攻击者无需使用 CSPRNG 即可利用缺少熵的情况。已在版本 1.19.1 中修补此问题。(CVE-2023-31124)

- c-ares 是一个异步解析器库。ares_inet_net_pton() 容易受到某些 ipv6 地址的缓冲区下溢漏洞影响,尤其是 0: : 00: 00: 发现 00/2 造成了问题。C-ares 仅处于配置目的在内部使用此函数,而这需要管理员通过 ares_set_sortlist() 配置此类地址。但是,用户可能出于其他目的而在外部使用 ares_inet_net_pton(),因此容易受到更严重问题的影响。已在 1.19.1 中修复此问题。(CVE-2023-31130)

- c-ares 是一种异步解析器库。当 /dev/urandom 或 RtlGenRandom() 不可用时,c-ares 会使用 rand() 生成用于 DNS 查询 ID 的随机数。这不是 CSPRNG,也不是由 srand() 植入,因此将生成可预测的输出。来自随机数生成器的输入被馈送给不合规的 RC4 实现,并且可能不如原始 RC4 实现。未尝试查找现代操作系统提供的 CSPRNG,例如广泛可用的 arc4random()。此问题已在 1.19.1 版本中修复。(CVE-2023-31147)

- c-ares 是一个异步解析器库。c-ares 容易遭受拒绝服务攻击。如果目标解析器发送查询,攻击者便会伪造长度为 0 的畸形 UDP 数据包并将其返回给目标解析器。目标解析器将 0 长度错误地解释为正常关闭连接。已在版本 1.19.1 中修补此问题。(CVE-2023-32067)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行 'dnf update c-ares --releasever 2023.0.20230607' 以更新系统。

另见

https://alas.aws.amazon.com/AL2023/ALAS-2023-198.html

https://alas.aws.amazon.com/cve/html/CVE-2022-4904.html

https://alas.aws.amazon.com/cve/html/CVE-2023-31124.html

https://alas.aws.amazon.com/cve/html/CVE-2023-31130.html

https://alas.aws.amazon.com/cve/html/CVE-2023-31147.html

https://alas.aws.amazon.com/cve/html/CVE-2023-32067.html

https://alas.aws.amazon.com/faqs.html

插件详情

严重性: High

ID: 176922

文件名: al2023_ALAS2023-2023-198.nasl

版本: 1.1

类型: local

代理: unix

发布时间: 2023/6/8

最近更新时间: 2023/6/8

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 9

时间分数: 7

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:C

CVSS 分数来源: CVE-2022-4904

CVSS v3

风险因素: High

基本分数: 8.6

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:amazon:linux:c-ares, p-cpe:/a:amazon:linux:c-ares-devel, p-cpe:/a:amazon:linux:c-ares-debugsource, p-cpe:/a:amazon:linux:c-ares-debuginfo, cpe:/o:amazon:linux:2023

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2023/6/5

漏洞发布日期: 2023/2/20

参考资料信息

CVE: CVE-2022-4904, CVE-2023-31124, CVE-2023-31130, CVE-2023-31147, CVE-2023-32067