远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2024-8497:03 公告中提及的多个漏洞的影响。

    * podman：jose-go：对高度压缩数据的处理不当 (CVE-2024-28180)
      * buildah：jose-go：对高度压缩数据的处理不当 (CVE-2024-28180)
      * podman：jose-go：资源耗尽 (CVE-2024-28176)
      * buildah：jose-go：资源耗尽 (CVE-2024-28176)
      * skopeojose-go资源耗尽 (CVE-2024-28176) 其他变更
    有关此版本中的详细变更信息请参阅“参考”部分链接的 Asianux Server 8 发行说明。
    CVE-2024-28176 jose 是用于 JSON 对象签名和加密的 JavaScript 模块提供对 JSON Web Tokens (JWT)、JSON Web Signature (JWS)、JSON Web Encryption (JWE)、JSON Web Key (JWK)、JSON Web Key Set (JWKS)、等等。在 JSON Web Encryption (JWE) 解密接口中发现一个漏洞，该漏洞尤其与解密后纯文本的解压缩支持有关。在某些情况下，该漏洞可能会在 JWE 解密操作期间使用户的环境消耗不合理的 CPU 时间或内存资源。已在 2.0.7 和 4.15.5 中修补此问题。
    CVE-2024-28180 jose 程序包旨在提供 Javascript 对象签名和加密标准集的实现。攻击者可发送包含压缩数据的 JWE，当使用 Decrypt 或 DecryptMulti 解压缩时，这些数据会占用大量内存和 CPU。如果解压缩的数据超过 250kB 或压缩文件大小的 10 倍（以较大者为准），这些函数现在会返回错误。此漏洞已在版本 4.0.1、 3.0.3 和 2.6.3中修补。
    模块名称：container-tools 流名称：rhel8

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

iracleLinux 8 container-tools:rhel8 缺陷补丁和增强更新 (AXSA:2024-8497:03)

medium Nessus 插件 ID 292294

版本 1.1