Linux Distros 未修补的漏洞：CVE-2023-45142

high Nessus 插件 ID 227284

语言：

简介

Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。

描述

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

- OpenTelemetry-Go Contrib 由一系列适用于 OpenTelemetry-Go 的第三方程序包组成。现成可用的处理程序封装程序会添加基数未绑定的标签“http.user_agent”和“http.method”。如果向服务器发送许多恶意请求，可能会导致其内存耗尽。攻击者可轻松将请求的 HTTP 标头 User-Agent 或 HTTP 方法设置为随机且较长。库会在内部使用记录 HTTP“方法”和“User-Agent”的每个值的“httpconv.ServerRequest”。收到影响的条件为：程序必须使用“otelhttp.NewHandler”封装程序并且不在 CDN、LB、以前的中间件等级别上过滤任何未知的 HTTP 方法或用户代理。版本 0.44.0 版本修复了这个问题，当收集 http.request.method 属性的值时，将其限制为一组众所周知的值，并删除了其他高基数属性。作为变通方案，可以使用 otelhttp.WithFilter() 来解决此问题，但这需要仔细手动配置，以避免完全记录某些请求。为了方便和安全地使用该库，默认情况下应该使用标签“未知”来标记非标准的 HTTP 方法和用户代理，以显示这样的请求已经发生，但不增加基数。如果有人想继续使用当前行为，库 API 应允许启用它。(CVE-2023-45142)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

解决方案

目前尚未有任何已知的解决方案。

另见

https://ubuntu.com/security/CVE-2023-45142

插件详情

严重性: High

ID: 227284

文件名: unpatched_CVE_2023_45142.nasl

版本: 1.3

类型: local

代理: unix

系列: Misc.

发布时间: 2025/3/5

最近更新时间: 2025/10/14

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 4.3

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2023-45142

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.9

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:U/RC:C

CVSS 分数来源: CVE-2023-45142

漏洞信息

CPE: cpe:/o:canonical:ubuntu_linux:25.04, p-cpe:/a:canonical:ubuntu_linux:golang-opentelemetry-contrib, cpe:/o:canonical:ubuntu_linux:25.10

必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier

易利用性: No known exploits are available

漏洞发布日期: 2023/10/12

参考资料信息

CVE: CVE-2023-45142