skopeo-1.16.1-1.el9
エラータID: AXSA:2024-9102:06
リリース日:
2024/12/11 Wednesday - 18:17
題名:
skopeo-1.16.1-1.el9
影響のあるチャネル:
MIRACLE LINUX 9 for x86_64
Severity:
Moderate
Description:
以下項目について対処しました。
[Security Fix]
- Go の net パッケージの Lookup() 関数には、無限ループの
発生に至る問題があるため、リモートの攻撃者により、細工された
DNS メッセージを介して、サービス拒否攻撃 (リソースの枯渇)
を可能とする脆弱性が存在します。(CVE-2024-24788)
- Go の net/http モジュールの HTTP／1.1 クライアント機能
には、情報レスポンス以外のステータスで応答する際の処理に
問題があるため、リモートの攻撃者により、
「Expect: 100-continue」のヘッダーが付与されるように細工
した HTTP リクエストパケットの送信を介して、サービス拒否
攻撃 (クライアント接続の無効化) を可能とする脆弱性が存在
します。(CVE-2024-24791)
- containers/image ライブラリには、認証されたレジストリへの
アクセスを許容してしまう問題があるため、リモートの攻撃者に
より、パストラバーサル攻撃、サービス拒否攻撃 (リソース枯渇)、
およびその他の特定できない影響を及ぼす攻撃を可能とする脆弱性
が存在します。(CVE-2024-3727)
- go-retryablehttp には、URL のサニタイズ処理が欠落している
ため、ローカルの攻撃者により、ログファイルへの URL の書き
込みを介して、情報の漏洩を可能とする脆弱性が存在します。
(CVE-2024-6104)
解決策:
パッケージをアップデートしてください。
CVE:
CVE-2024-24788
A malformed DNS message in response to a query can cause the Lookup functions to get stuck in an infinite loop.
A malformed DNS message in response to a query can cause the Lookup functions to get stuck in an infinite loop.
CVE-2024-24791
The net/http HTTP/1.1 client mishandled the case where a server responds to a request with an "Expect: 100-continue" header with a non-informational (200 or higher) status. This mishandling could leave a client connection in an invalid state, where the next request sent on the connection will fail. An attacker sending a request to a net/http/httputil.ReverseProxy proxy can exploit this mishandling to cause a denial of service by sending "Expect: 100-continue" requests which elicit a non-informational response from the backend. Each such request leaves the proxy with an invalid connection, and causes one subsequent request using that connection to fail.
The net/http HTTP/1.1 client mishandled the case where a server responds to a request with an "Expect: 100-continue" header with a non-informational (200 or higher) status. This mishandling could leave a client connection in an invalid state, where the next request sent on the connection will fail. An attacker sending a request to a net/http/httputil.ReverseProxy proxy can exploit this mishandling to cause a denial of service by sending "Expect: 100-continue" requests which elicit a non-informational response from the backend. Each such request leaves the proxy with an invalid connection, and causes one subsequent request using that connection to fail.
CVE-2024-3727
A flaw was found in the github.com/containers/image library. This flaw allows attackers to trigger unexpected authenticated registry accesses on behalf of a victim user, causing resource exhaustion, local path traversal, and other attacks.
A flaw was found in the github.com/containers/image library. This flaw allows attackers to trigger unexpected authenticated registry accesses on behalf of a victim user, causing resource exhaustion, local path traversal, and other attacks.
CVE-2024-6104
go-retryablehttp prior to 0.7.7 did not sanitize urls when writing them to its log file. This could lead to go-retryablehttp writing sensitive HTTP basic auth credentials to its log file. This vulnerability, CVE-2024-6104, was fixed in go-retryablehttp 0.7.7.
go-retryablehttp prior to 0.7.7 did not sanitize urls when writing them to its log file. This could lead to go-retryablehttp writing sensitive HTTP basic auth credentials to its log file. This vulnerability, CVE-2024-6104, was fixed in go-retryablehttp 0.7.7.
追加情報:
N/A
ダウンロード:
SRPMS
- skopeo-1.16.1-1.el9.src.rpm
MD5: 028a6fa30144eca70a9a7b560aa033b8
SHA-256: b7afbe5f8471d8d45f54f81c891b2090a6c4e079c4ab71fe80feae2bee499f09
Size: 9.91 MB
Asianux Server 9 for x86_64
- skopeo-1.16.1-1.el9.x86_64.rpm
MD5: e23b6e40be1541ad59346f46d4e3f9ee
SHA-256: 9c4fa712ba8e551b279811e7660256818a5b863f3aebe2c98b47a1da3a7c400e
Size: 8.78 MB - skopeo-tests-1.16.1-1.el9.x86_64.rpm
MD5: f035fa9490f85932ab73a2129d12099a
SHA-256: c880de1d880fab86c24cfe2061deab868251609b95de67be2a34d233d1dc6b0b
Size: 764.32 kB
English