Amazon Linux 2：containerd (ALASDOCKER-2024-041)

critical Nessus 插件 ID 205717

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 containerd 版本低于 1.7.20-1。因此，它受到 ALAS2DOCKER-2024-041 公告中提及的多个漏洞影响。

2024-08-27：已将 CVE-2024-24790 添加到此公告中。

2024-08-14：已将 CVE-2023-47108 从此公告删除。

2024-08-14：此公告的严重性已从重要更改为中危。

protojson.Unmarshal 函数在取消封送某些形式的无效 JSON 时会进入无限循环。当解封为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。(CVE-2024-24786)

各种 Is 方法（IsPrivate、IsLoopback 等）无法针对 IPv4 映射的 IPv6 地址按预期运行，对于在传统 IPv4 形式时会返回 true 的地址会返回 false。
(CVE-2024-24790)

程序包 jose 旨在提供 JavaScript 对象签名和加密标准集的实现。攻击者可发送包含压缩数据的 JWE，当使用 Decrypt 或 DecryptMulti 解压缩时，这些数据会占用大量内存和 CPU。如果解压缩的数据超过 250kB 或压缩文件大小的 10 倍（以较大者为准），这些函数现在会返回错误。此漏洞已在 4.0.1、3.0.3 和 2.6.3 版本中得到修补。(CVE-2024-28180)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。