第2章 MTA 6.2.3

CVE-2024-30255: mta-hub-container envoy: CONTINUATION フレームフラッションによる HTTP/2 CPU 枯渇

Envoy プロキシーが HTTP/2 プロトコルスタックを実装する方法に欠陥が見つかりました。これは、以前のバージョンの MTA に影響します。CONTINUATION フレームの数には、単一ストリーム内で送信できる十分な制限があります。認証されていないリモート攻撃者が脆弱なサーバーにメッセージを送信すると、リソースを使用してサービス拒否(DoS)を引き起こすことで問題が発生する可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-29180: webpack-dev-middleware に URL 検証がないため、ファイルリークにつながる可能性がある

以前のバージョンの MTA に影響を与える webpack-dev-middleware パッケージで不具合が見つかりました。このパッケージでは、ローカルファイルを返す前に、提供された URL アドレスの検証に十分な失敗がありました。この不具合により、攻撃者が URL を作成し、開発者のマシンから任意のローカルファイルを返すことができます。ミドルウェアを呼び出す前に正規化が行われていなかったため、攻撃者はターゲット環境に対してパストラバーサル攻撃を実行することもできます。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-28849: follow-redirects パッケージが認証ヘッダーをクリアする

認証ヘッダーをクリアする follow-redirects パッケージに欠陥が見つかりましたが、proxy-authentication ヘッダーのクリアに失敗する。この不具合は、MTA の以前のバージョンに影響します。これにより、認証情報の漏えいが発生し、データの機密性に大きな影響が生じる可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-27316: HTTP-2: httpd: CONTINUATION フレーム

Apache httpd が HTTP/2 プロトコルを実装する方法の不具合が見つかりました。これは、以前のバージョンの MTA に影響します。この欠陥は、単一のストリーム内で送信できる CONTINUATION フレームの数に不十分な制限があることを意味します。この問題により、認証されていないリモート攻撃者が脆弱なサーバーにパケットを送信でき、メモリーリソースを使用し、サービス拒否(DoS)攻撃につながる可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2023-45288: Golang net/http、x/net/http2: CONTINUATION フレーム数が無制限であるため、サービス拒否 (DoS) 攻撃が発生する可能性がある

Go プログラミング言語の HTTP/2 プロトコルの実装に欠陥が見つかりました。これは、以前のバージョンの MTA に影響します。単一ストリーム内で送信される CONTINUATION フレームの数に十分な制限があります。攻撃者はこれを悪用してサービス拒否 (DoS) 攻撃を引き起こす可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2023-45857: Axios 1.5 により Cookie に保存された機密データが公開される

Axios 1.5.1 に不具合が発見されました。この不具合により、Cookie に保存されている機密情報の XSRF-TOKEN が、ホストに対するすべてのリクエストの HTTP ヘッダー X-XSRF-TOKEN に追加されて誤って公開されていました。結果として、攻撃者が機密情報を閲覧できる状態になっていました。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-25710: Apache Commons Compress: 破損した DUMP ファイルの無限ループによって引き起こされるサービス拒否

Apache Commons Compress バージョン 1.3 から 1.25.0 に欠陥が見つかりました。この欠陥により無限ループが発生し、サービス拒否(DoS)が発生し、可用性に影響を与えることで潜在的な危険が生じる可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-26308: Apache Commons Compress での制限やスロットリングの脆弱性のないリソースの割り当て

Apache Commons Compress バージョンに欠陥が見つかりました。制限 またはスロットルのないリソースの割り当て として知られる欠陥に より、制限やスロットリングなしでリソースの悪用が可能になります。 この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-1300: TCP サーバーが TLS および SNI サポートで設定されている場合の 'io.vertx:vertx-core' メモリーリーク

Eclipse'Vert.x' ツールキットに欠陥が見つかりました。この不具合により、TLS および SNI サポートで設定された TCP サーバーでメモリーリークが発生し、攻撃者が偽のサーバー名で TLS クライアント hello メッセージを送信し、JVM の out-of-memory (OOM)エラーが発生する可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-1132: org.keycloak-keycloak-parent: Keycloak のリダイレクト検証におけるパストラバーサル

リダイレクトに含まれる URL が適切に検証されないという不具合が Keycloak で発見されました。この欠陥により、攻撃者は検証をバイパスし、ドメイン内の他の URL や機密情報にアクセスする悪意のあるリクエストを作成したり、さらなる攻撃を行ったりする可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2024-1023: Netty FastThreadLocal データ構造を使用した Eclipse Vert.x Toolkit のメモリーリークの脆弱性

Eclipse'Vert.x' ツールキットに欠陥が見つかりました。この欠陥により、Netty FastThreadLocal データ構造を使用しているため、メモリーリークが発生する可能性があります。具体的には、Vert.x HTTP クライアントが異なるホストへの接続を確立すると、メモリーリークが発生する可能性があります。 この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2023 -26159: url.parse （）による URL の不適切な処理による不適切な入力検証をフォローします。

follow-redirects パッケージに欠陥が見つかりました。この不具合は、url.parse （） 関数による URL の不適切な処理によって引き起こされます。新しい URL （）がエラーを返すと、ホスト名を誤って解釈するように操作することができます。攻撃者はこの弱点を悪用してトラフィックを悪意のあるサイトにリダイレクトするため、情報漏洩、フィッシング攻撃、その他のセキュリティー侵害につながる可能性があります。 この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2023-26364: css-tools の不適切な入力検証によりサービス拒否が発生する

@adobe/css-tools に不具合が見つかりました。この不具合により、CSS を解析する際に軽度のサービス拒否 (DoS) が発生する可能性があります。ユーザーインタラクションや権限がなくても、環境を危険にさらすことができます。この問題は MTA 6.2.3 にアップグレードすることを推奨します。

CVE-2023-48631: css-tools: 正規表現によるサービス拒否

@adobe/css-tools に不具合が見つかりました。この不具合により、CSS の解析を試行する際に正規表現によるサービス拒否 (ReDoS) が発生する可能性があります。この問題は MTA 6.2.3 にアップグレードすることを推奨します。