Linux Distros 未修补的漏洞: CVE-2023-22497
critical Nessus 插件 ID 226257
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Netdata 是用于对基础架构进行实时监控和故障排除的开源选项。每个 Netdata Agent 都有一个自动生成的 MACHINE GUID。它在代理首次启动时生成，并保存到磁盘，因此将在多次重新启动时持续存在。任何有权访问 Netdata Agent 的人都可以访问其 MACHINE_GUID。流功能允许 Netdata 代理作为其他 Netdata 代理的父项（子项），从各种函数（增加的数据保留、ML、运行状况监控等）中卸载子项，这些函数现在可由父代理处理。配置通过“stream.conf”完成。在父端，用户在“stream.conf”中配置 API 密钥（任何随机 UUID 均可），为使用此 API 密钥的所有子密钥提供通用配置，并在父端使用每个 MACHINE GUID 配置为每个子密钥自定义配置。此漏洞的实现方式允许攻击者将有效的 MACHINE_GUID 用作 API 密钥。这会影响向不受信任的用户暴露其 Netdata 代理（子版本）的所有用户，并且他们还会向聚合所有这些子版本数据的相同用户暴露 Netdata 代理父版本。此问题已在以下版本中修复：Netdata Agent v1.37 (stable) 和 Netdata agent v1.36.0-409（夜间版）。变通方案为默认不启用流。如果您之前启用了此功能，可以将其禁用。将接收方代理上的端口的访问限制为受信任的子连接可缓解此漏洞的影响。 (CVE-2023-22497)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。插件详情
严重性: Critical
ID: 226257
文件名: unpatched_CVE_2023_22497.nasl
版本: 1.1
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/5
最近更新时间: 2025/3/5
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.0
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2023-22497
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 8.2
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2023/1/14
参考资料信息
CVE: CVE-2023-22497