远程 Azure Linux 3.0 主机上安装的 application-gateway-kubernetes-ingress / blobfuse2 / cert-manager / cf-cli / coredns / cri-tools / etcd 的版本低于 所测试的 版本。因此，该程序受到 CVE-2023-39325 公告中提及的一个漏洞影响。

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。此值可使用 golang.org/x/net/http2 程序包调整请参阅请参阅“Server.MaxConcurrentStreams 设置”和“ConfigureServer 函数”。 (CVE-2023-39325)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Azure Linux 3.0 安全更新application-gateway-kubernetes-ingress / blobfuse2 / cert-manager / cf-cli / coredns / cri-tools / etcd (CVE-2023-39325)

high Nessus 插件 ID 215478

版本 1.4