远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2024-8078:02 公告中提及的多个漏洞的影响。

    * golang-protobufencoding/protojson, internal/encoding/json当解组某些形式的无效 JSON 时protojson.Unmarshal 中的无限循环 (CVE-2024-24786) 缺陷修复
      * TRIAGE CVE-2024-24786 skopeo: golang-protobufencoding/protojson, internal/encoding/json当解组某些形式的无效 JSON 时protojson.Unmarshal 中存在无限循环 [rhel-9] - RHEL 9.4 0day (JIRARHEL-28235) [ ]
      * skopeojose-go未正确处理高度压缩的数据 [rhel-9] (JIRARHEL-28736) CVE-2024-24786 protojson.Unmarshal 函数在解组某些形式的无效 JSON 时可进入无限循环。当取消封送为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。
    CVE-2024-28180 jose 程序包旨在提供 Javascript 对象签名和加密标准集的实现。攻击者可发送包含压缩数据的 JWE，当使用 Decrypt 或 DecryptMulti 解压缩时，这些数据会占用大量内存和 CPU。如果解压缩的数据超过 250kB 或压缩文件大小的 10 倍（以较大者为准），这些函数现在会返回错误。此漏洞已在版本 4.0.1、 3.0.3 和 2.6.3中修补。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 9skopeo-1.14.3-2.el9 (AXSA:2024-8078:02)

high Nessus 插件 ID 291907

版本 1.1