It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2023-282 advisory.

    2023-10-12: CVE-2023-4785 was added to this advisory.

    When gRPC HTTP2 stack raised a header size exceeded error, it skipped parsing the rest of the HPACK frame.
    This caused any HPACK table mutations to also be skipped, resulting in a desynchronization of HPACK tables     between sender and receiver. If leveraged, say, between a proxy and a backend, this could lead to requests     from the proxy being interpreted as containing headers from different proxy clients - leading to an     information leak that can be used for privilege escalation or data exfiltration. We recommend upgrading     beyond the commit contained in  https://github.com/grpc/grpc/pull/33005     https://github.com/grpc/grpc/pull/33005 (CVE-2023-32731)

    gRPC contains a vulnerability whereby a client can cause a termination of connection between a HTTP2 proxy     and a gRPC server: a base64 encoding error for `-bin` suffixed headers will result in a disconnection by     the gRPC server, but is typically allowed by HTTP2 proxies. We recommend upgrading beyond the commit in     https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732)

    Lack of error handling in the TCP server in Google's gRPC starting version 1.23 on posix-compatible     platforms (ex. Linux) allows an attacker to cause a denial of service by initiating a significant number     of connections with the server. Note that gRPC C++ Python, and Ruby are affected, but gRPC Java, and Go     are NOT affected. (CVE-2023-4785)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2024:10761 advisory.

    Python-based worker for Red Hat connect, used to launch Ansible playbooks via Ansible Runner.

    Security Fix(es):

    * python-wheel: remote attackers can cause denial of service via attacker controlled input to wheel cli     (CVE-2022-40898)

    * gRPC: sensitive information disclosure (CVE-2023-32731)

    * gRPC: Reachable Assertion (CVE-2023-1428)

    * gRPC: hpack table accounting errors can lead to denial of service (CVE-2023-33953)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

したがって、ALAS2023-2023-282 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - gRPC HTTP2 スタックがヘッダーサイズ超過のエラーを発生させた際に、HPACK フレームの残りの解析をスキップしました。
    これにより、HPACK テーブルの変更もスキップされ、送信者と受信者の間で HPACK テーブルの非同期が発生しました。たとえば、これがプロキシとバックエンドの間で利用された場合、プロキシからのリクエストが、異なるプロキシクライアントからのヘッダーを含んでいると解釈される可能性があります。これにより、情報漏洩が発生し、権限昇格やデータ漏洩に利用される可能性があります。https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 に含まれるコミット以降にアップグレードすることをお勧めします (CVE-2023-32731)

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - gRPC HTTP2 堆疊引發超出標頭大小錯誤時，會略過剖析 HPACK 框架的其餘部分。
    這也會造成系統略過任何 HPACK 表格突變，進而導致傳送器和接收器之間的 HPACK 表格失去同步。如果攻擊者在 Proxy 和後端之間利用此弱點，可導致來自 Proxy 的要求被解譯為包含來自不同 Proxy 用戶端的標頭，從而造成資訊洩漏，並進一步用來提升權限或竊取資料。建議升級為較 https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 中所含 Commit 更高的版本 (CVE-2023-32731)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，會受到 ALAS2023-2023-282 公告中所提及的多個弱點影響。

  - gRPC HTTP2 堆疊引發超出標頭大小錯誤時，會略過剖析 HPACK 框架的其餘部分。
    這也會造成系統略過任何 HPACK 表格突變，進而導致傳送器和接收器之間的 HPACK 表格失去同步。如果攻擊者在 Proxy 和後端之間利用此弱點，可導致來自 Proxy 的要求被解譯為包含來自不同 Proxy 用戶端的標頭，從而造成資訊洩漏，並進一步用來提升權限或竊取資料。建議升級為較 https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 中所含 Commit 更高的版本 (CVE-2023-32731)

  - gRPC 包含一個弱點，用戶端可造成 HTTP2 Proxy 和 gRPC 伺服器之間的連線終止：「-bin」後置之標頭的 base64 編碼錯誤會導致 gRPC 伺服器中斷連線，但 HTTP2 Proxy 通常允許此行為。建議升級為較 https://github.com/grpc/grpc/pull/32309 https://www.google.com/url 中 Commit 更高的版本 (CVE-2023-32732)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:10761 公告中提及的多个漏洞影响。

    适用于 Red Hat 连接的基于 Python 的工作线程，用于通过 Ansible Runner 启动 Ansible 手册。

    安全修复：

    * python-wheel：远程攻击者可通过攻击者控制的 wheel cli 输入来造成拒绝服务 (CVE-2022-40898)

    * gRPC：敏感信息泄露 (CVE-2023-32731)

    * gRPC：可访问的断言 (CVE-2023-1428)

    * gRPC：hpack 表统计错误可导致拒绝服务 (CVE-2023-33953)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、知晓，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2024:10761 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Ansible Runner 経由で Ansible プレイブックを起動するために使用される、Red Hat connect 用の Python ベースのワーカーです。

    セキュリティ修正プログラム:

    * python-wheel: リモートの攻撃者が、wheel cli への入力が制御される攻撃者により、サービス拒否を引き起こす可能性 (CVE-2022-40898)

    * gRPC: 機密情報の漏洩 (CVE-2023-32731)

    * gRPC: 到達可能なアサーション (CVE-2023-1428)

    * gRPC: hpack テーブルアカウンティングエラーにより、サービス拒否が引き起こされる可能性 (CVE-2023-33953)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 9 主機安裝的套件受到 RHSA-2024:10761 公告中提及的多個弱點影響。

    適用於 Red Hat 連線的 Python 型背景工作角色，用來透過 Ansible Runner 啟動 Ansible 教戰手冊。

    安全性修正：

    * python-wheel：遠端攻擊者可透過攻擊者控制的 wheel cli 輸入來造成拒絕服務 (CVE-2022-40898)

    * gRPC：敏感主機資訊洩漏 (CVE-2023-32731)

    * gRPC：可存取的宣告 (CVE-2023-1428)

    * gRPC：hpack 表格核算錯誤可導致拒絕服務 (CVE-2023-33953)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2023-2023-282 公告中提及的多个漏洞影响。

  - 当 gRPC HTTP2 堆栈引发“超出标头大小”错误时，它会跳过解析 HPACK 帧的其余部分。
    这会造成程序跳过任何 HPACK 表变更，进而导致发送者和接收者之间的 HPACK 表不同步。例如，如果在代理和后端之间利用此问题，可导致来自代理的请求被解释为包含来自不同代理客户端的标头，从而发生信息泄漏，而攻击者可以借此提升权限或造成数据外泄。建议升级为比 https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 中包含的 Commit 更高的版本 (CVE-2023-32731)

  - gRPC 中包含一个漏洞，客户端可利用此漏洞导致 HTTP2 代理和 gRPC 服务器之间的连接终止：带“-bin”后缀的标头的 base64 编码错误将导致 gRPC 服务器断开连接，但 HTTP2 代理通常允许这样做。建议升级为比 https://github.com/grpc/grpc/pull/32309 https://www.google.com/url 中包含的 Commit 更高的版本 (CVE-2023-32732)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当 gRPC HTTP2 堆栈引发“超出标头大小”错误时，它会跳过解析 HPACK 帧的其余部分。
    这会造成程序跳过任何 HPACK 表变更，进而导致发送者和接收者之间的 HPACK 表不同步。例如，如果在代理和后端之间利用此问题，可导致来自代理的请求被解释为包含来自不同代理客户端的标头，从而发生信息泄漏，而攻击者可以借此提升权限或造成数据外泄。建议升级为比 https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 中包含的 Commit 更高的版本 (CVE-2023-32731)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When gRPC HTTP2 stack raised a header size exceeded error, it skipped parsing the rest of the HPACK frame.
    This caused any HPACK table mutations to also be skipped, resulting in a desynchronization of HPACK tables     between sender and receiver. If leveraged, say, between a proxy and a backend, this could lead to requests     from the proxy being interpreted as containing headers from different proxy clients - leading to an     information leak that can be used for privilege escalation or data exfiltration. We recommend upgrading     beyond the commit contained in https://github.com/grpc/grpc/pull/33005     https://github.com/grpc/grpc/pull/33005 (CVE-2023-32731)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:0573-1 advisory.

  - When gRPC HTTP2 stack raised a header size exceeded error, it skipped parsing the rest of the HPACK frame.
    This caused any HPACK table mutations to also be skipped, resulting in a desynchronization of HPACK tables     between sender and receiver. If leveraged, say, between a proxy and a backend, this could lead to requests     from the proxy being interpreted as containing headers from different proxy clients - leading to an     information leak that can be used for privilege escalation or data exfiltration. We recommend upgrading     beyond the commit contained in https://github.com/grpc/grpc/pull/33005     https://github.com/grpc/grpc/pull/33005 (CVE-2023-32731)

  - gRPC contains a vulnerability whereby a client can cause a termination of connection between a HTTP2 proxy     and a gRPC server: a base64 encoding error for `-bin` suffixed headers will result in a disconnection by     the gRPC server, but is typically allowed by HTTP2 proxies. We recommend upgrading beyond the commit in     https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732)

  - gRPC contains a vulnerability that allows hpack table accounting errors could lead to unwanted disconnects     between clients and servers in exceptional cases/ Three vectors were found that allow the following DOS     attacks: - Unbounded memory buffering in the HPACK parser - Unbounded CPU consumption in the HPACK parser     The unbounded CPU consumption is down to a copy that occurred per-input-block in the parser, and because     that could be unbounded due to the memory copy bug we end up with an O(n^2) parsing loop, with n selected     by the client. The unbounded memory buffering bugs: - The header size limit check was behind the string     reading code, so we needed to first buffer up to a 4 gigabyte string before rejecting it as longer than 8     or 16kb. - HPACK varints have an encoding quirk whereby an infinite number of 0's can be added at the     start of an integer. gRPC's hpack parser needed to read all of them before concluding a parse. - gRPC's     metadata overflow check was performed per frame, so that the following sequence of frames could cause     infinite buffering: HEADERS: containing a: 1 CONTINUATION: containing a: 2 CONTINUATION: containing a: 3     etc (CVE-2023-33953)

  - The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation     can reset many streams quickly, as exploited in the wild in August through October 2023. (CVE-2023-44487)

  - Lack of error handling in the TCP server in Google's gRPC starting version 1.23 on posix-compatible     platforms (ex. Linux) allows an attacker to cause a denial of service by initiating a significant number     of connections with the server. Note that gRPC C++ Python, and Ruby are affected, but gRPC Java, and Go     are NOT affected. (CVE-2023-4785)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - gRPC HTTP2 スタックがヘッダーサイズ超過のエラーを発生させた際に、HPACK フレームの残りの解析をスキップしました。
    これにより、HPACK テーブルの変更もスキップされ、送信者と受信者の間で HPACK テーブルの非同期が発生しました。たとえば、これがプロキシとバックエンドの間で利用された場合、プロキシからのリクエストが、異なるプロキシクライアントからのヘッダーを含んでいると解釈される可能性があります。これにより、情報漏洩が発生し、権限昇格やデータ漏洩に利用される可能性があります。https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 に含まれるコミット以降にアップグレードすることをお勧めします (CVE-2023-32731)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0573-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - gRPC HTTP2 スタックがヘッダーサイズ超過のエラーを発生させた際に、HPACK フレームの残りの解析をスキップしました。
    これにより、HPACK テーブルの変更もスキップされ、送信者と受信者の間で HPACK テーブルの非同期が発生しました。たとえば、これがプロキシとバックエンドの間で利用された場合、プロキシからのリクエストが、異なるプロキシクライアントからのヘッダーを含んでいると解釈される可能性があります。これにより、情報漏洩が発生し、権限昇格やデータ漏洩に利用される可能性があります。https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 に含まれるコミット以降にアップグレードすることをお勧めします (CVE-2023-32731)

  - gRPC には脆弱性が含まれており、クライアントが HTTP2 プロキシと gRPC サーバー間の接続を終了させる可能性があります。「-bin」サフィックスが付いたヘッダーの base64 エンコーディングエラーにより、gRPC サーバーによる切断が発生しますが、通常、HTTP2 プロキシによって許可されます。コミット https://github.com/grpc/grpc/pull/32309 https://www.google.com/url (CVE-2023-32732) 以降にアップグレードすることをお勧めします

  - gRPC には、hpack テーブルアカウンティングエラーにより、例外的にクライアントとサーバー間の望ましくない切断が発生する可能性がある脆弱性が含まれています。次の DOS 攻撃を可能にする 3 つのベクトルが見つかりました。- HPACK パーサーでの無制限のメモリバッファリング。- HPACK パーサーでの無制限の CPU 消費。無制限の CPU 消費は、パーサーの入力ブロックごとに発生したコピーによるもので、メモリコピーのバグにより無制限になる可能性があるため、O(n^2) の解析ループになり、n がクライアントによって選択される可能性があります。無限メモリバッファリングのバグ: - ヘッダーのサイズ制限チェックは文字列読み取りコードの後ろにあったため、8kb や 16kb より長い文字列を拒否する前に、まず 4 ギガバイトまでの文字列をバッファリングする必要がありました。- HPACK 変数にはエンコーディング quirk があり、整数の先頭に無数の 0 を追加できます。gRPC  の hpack パーサーは、解析を終了する前にそれらすべてを読み取る必要がありました。- gRPC のメタデータオーバーフローチェックはフレームごとに実行されたため、次の一連のフレームによって無限バッファリングを引き起こす可能性がありました。HEADERS: containing a: 1 CONTINUATION: containing a: 2 CONTINUATION: containing a: 3 etc (CVE-2023-33953)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - posix 互換プラットフォーム (Linux など) 上の Google の gRPC バージョン 1.23 以降では TCP サーバーのエラー処理が欠如しているため、攻撃者がサーバーとの大量の接続を開始することでサービス拒否を引き起こす可能性があります。注意: gRPC C++ Python、Ruby は影響を受けますが、gRPC Java、Go は影響を受けません。(CVE-2023-4785)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
179767	Amazon Linux 2023 : grpc, grpc-cpp, grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical
212043	RHEL 9 : rhc-worker-playbook (RHSA-2024:10761)	Nessus	Red Hat Local Security Checks	2024/12/3	2025/3/14	critical
179767	Amazon Linux 2023 : grpc、grpc-cpp、grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical
258569	Linux Distros 未修補的弱點：CVE-2023-32731	Nessus	Misc.	2025/8/30	2025/10/14	high
179767	Amazon Linux 2023：grpc、grpc-cpp、grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical
212043	RHEL 9：rhc-worker-playbook (RHSA-2024:10761)	Nessus	Red Hat Local Security Checks	2024/12/3	2025/3/14	critical
212043	RHEL 9 : rhc-worker-playbook (RHSA-2024:10761)	Nessus	Red Hat Local Security Checks	2024/12/3	2025/3/14	critical
212043	RHEL 9：rhc-worker-playbook (RHSA-2024:10761)	Nessus	Red Hat Local Security Checks	2024/12/3	2025/3/14	critical
179767	Amazon Linux 2023：grpc、grpc-cpp、grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical
258569	Linux Distros 未修补的漏洞：CVE-2023-32731	Nessus	Misc.	2025/8/30	2025/10/14	high
258569	Linux Distros Unpatched Vulnerability : CVE-2023-32731	Nessus	Misc.	2025/8/30	2025/10/14	high
190881	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : abseil-cpp, grpc, opencensus-proto, protobuf, python-abseil, python-grpcio, re2 (SUSE-SU-2024:0573-1)	Nessus	SuSE Local Security Checks	2024/2/22	2024/2/23	high
258569	Linux Distros のパッチ未適用の脆弱性: CVE-2023-32731	Nessus	Misc.	2025/8/30	2025/10/14	high
190881	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: abseil-cpp、grpc、opencensus-proto、protobuf、python-abseil、python-grpcio、re2 (SUSE-SU-2024:0573-1)	Nessus	SuSE Local Security Checks	2024/2/22	2024/2/23	high

检测

插件搜索

critical

critical

critical

high

critical

critical

critical

critical

critical

high

high

high

high

high