1.7. Apicurio Registry が解決した CVE

CVE-2024-1023

Eclipse Vert.x ツールキットの脆弱性により、Netty FastThreadLocal データ構造の使用によりメモリーリークが発生します。

CVE-2024-1300

Eclipse Vert.x ツールキットの脆弱性により、TLS および SNI サポートが設定された TCP サーバーでメモリーリークが発生します。

CVE-2024-26308

Apache Commons Compress に、制限のないリソースの割り当てやスロットリングの脆弱性が見つかりました。

CVE-2024-25710

Apache Common Compress に、到達不可能な終了条件を持つループ (無限ループ) の脆弱性が見つかりました。

CVE-2024-29025

io.netty:netty-codec-http パッケージに不具合が見つかりました。このパッケージの影響を受けるバージョンは、HttpPostRequestDecoder 内のデータが蓄積されるため、制限なしのリソース割り当てまたはスロットルに対して脆弱です。

CVE-2024-20952 CVE-2024-20921 CVE-2024-20919 CVE-2024-20918

悪用が困難な脆弱性により、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。

CVE-2024-20945

悪用が困難な脆弱性により、権限の低い攻撃者が Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition が実行されるインフラストラクチャーにログオンし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。

CVE-2024-20932

簡単に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。

CVE-2023-39615

Libxml2 に不具合が見つかりました。この不具合には、/libxml2/SAX2.c にある xmlSAX2StartElement() 関数によるグローバルバッファーオーバーフローが含まれています。

CVE-2023-38473

Avahi に脆弱性が見つかりました。到達可能なアサーションが avahi_alternative_host_name() 関数に存在します。

CVE-2023-38472

Avahi に脆弱性が見つかりました。到達可能なアサーションが avahi_rdata_parse() 関数に存在します。

CVE-2023-38471

Avahi に脆弱性が見つかりました。到達可能なアサーションが dbus_set_host_name 関数に存在します。

CVE-2023-38470

Avahi に脆弱性が見つかりました。到達可能なアサーションが avahi_escape_label() 関数に存在します。

CVE-2023-38469

Avahi に脆弱性が見つかり、到達可能なアサーションが avahi_dns_packet_append_record に存在します。

CVE-2023-27043

3.11.3 までの Python のメールモジュールは、特殊文字を含むメールアドレスを誤って解析します。

CVE-2023-7104

SQLite3 に脆弱性が見つかりました。この問題は、make alltest Handler コンポーネントの ext/session/sqlite3session.c 関数の sessionReadRecord 関数に影響を与えます。操作により、ヒープベースのバッファーオーバーフローが発生する可能性があります。

CVE-2023-5981

RSA-PSK ClientKeyExchange の不正な暗号文に対する応答時間が、正しい PKCS#1 v1.5 パディングを使用した暗号文の応答時間と異なるという脆弱性が見つかりました。

CVE-2023-5678

OpenSSL に不具合が見つかり、長い X9.42 DH キーまたはパラメーターの生成または確認が、予想よりも大幅に遅くなりました。この問題はサービス拒否につながる可能性があります。

CVE-2023-5388

NSS で RSA 暗号化に使用されている数値ライブラリーから、RSA 復号結果の上位ビットが 0 かどうかの情報が漏洩していることが判明しました。

CVE-2023-3817 CVE-2023-3446

OpenSSL に脆弱性が見つかりました。このセキュリティー問題は、DH_check()、DH_check_ex()、または EVP_PKEY_param_check() 関数を使用して DH キーまたは DH パラメーターをチェックするアプリケーションで長い遅延が発生する可能性があるために発生します。

CVE-2022-48564

plistlib.py ファイルの read_ints() 関数内の Python コア plistlib ライブラリーに脆弱性が見つかりました。

CVE-2022-48560

heapq モジュールの heappushpop 関数を介して、Python で use-after-free の脆弱性が見つかりました。

CVE-2021-3468

avahi に不具合が見つかりました。avahi Unix ソケットでのクライアント接続の終了を通知するために使用されるイベントが client_work 関数で正しく処理されないため、ローカルの攻撃者が無限ループを引き起こすことになります。

IPT-1034

CVE-2023-5072 JSON-java: パーサーの混乱により OOM エラーが発生する

IPT-1030

CVE-2023-31582 jose4j: 反復回数の設定がセキュアでない

IPT-1021

CVE-2023-44487 の概要: HTTP/2: 複数の HTTP/2 対応 Web サーバーが DDoS 攻撃 (ラピッドリセット攻撃) からの影響を受ける

IPT-1013

CVE-2023-39410 avro: apache-avro: Apache Avro Java SDK: Avro Java SDK で信頼できないデータをデシリアライズするときのメモリー

IPT-995

CVE-2023-4853 quarkus-vertx-http: quarkus: HTTP セキュリティーポリシーの回避

IPT-993

CVE-2023-39321 CVE-2023-39322 integration-service-registry-operator-container: さまざまな欠陥

IPT-953

CVE-2023-29409 integration-service-registry-operator-container: golang: crypto/tls: 大きな RSA キーを含む証明書チェーンの検証が遅い

IPT-948

CVE-2023-29406 integration-service-registry-operator-container: golang: net/http: ホストヘッダーのサニタイズが不十分である

IPT-940

CVE-2023-34462 netty: SniHandler の 16 MB の割り当てにより OutOfMemoryError が発生する

IPT-936

CVE-2023-34455 snappy-java: チャンク長がチェックされていないと DoS が発生する

IPT-935

CVE-2023-35116 jackson-databind: cyclic 依存関係によるサービス拒否

IPT-874

CVE-2023-1584 quarkus-oidc: ID とアクセストークンが認可コードフロー経由で漏洩する

CVE-2023-44483

JSR 105 API を使用する場合、Apache Santuario - XML Security for Java の 2.2.6、2.3.4、および 3.0.3 未満のすべてのバージョンは、XML 署名が生成され、デバッグレベルのロギングが有効になっている場合に、ログファイルに秘密鍵が開示され得るという問題に対して脆弱である

CVE-2023-43642

Java のデータ圧縮ライブラリーである snappy-java の SnappyInputStream で欠陥が検出される。この問題は、チャンク長の上限チェックが欠落した結果、チャンクサイズが大きすぎるデータを解凍するときに発生する

CVE-2023-42503

Apache Commons Compress: 不正な形式の TAR ファイルの CPU 消費によるサービス拒否

CVE-2023-40217

Python 3 ssl.SSLSocket が、HTTPS サーバー、および TLS クライアント認証 (mTLS など) を使用するその他のサーバー側プロトコルの特定のインスタンスで、TLS ハンドシェイクの回避に対して脆弱である

CVE-2021-39194

kaml でタグ付きポリモーフィズムスタイルを使用したポリモーフィックな入力を解析する際のサービス拒否

CVE-2023-34454 CVE-2023-34453

Snappy-java の shuffle 関数に、演算開始前に入力サイズをチェックしないという欠陥が発見される

CVE-2023-29491

ncurses に、setuid アプリケーションで使用すると生じる脆弱性が発見される

CVE-2023-28118

kaml でアンカーとエイリアスを使用して入力を解析する際にサービス拒否が発生する可能性がある

CVE-2022-24823

netty でマルチパートデコーダを使用する場合、ディスクへのアップロードの一時保存が有効になっていると、ローカルシステムの一時ディレクトリーを介してローカル情報が開示される可能性がある

CVE-2023-4911

GLIBC_TUNABLES 環境変数の処理中に、GNU C ライブラリーの動的ローダー ld.so でバッファーオーバーフローが検出される

CVE-2023-4813

glibc で欠陥が発見される。まれに、gaih_inet 関数が解放されたメモリーを使用し、アプリケーションがクラッシュする

CVE-2023-4806

glibc で欠陥が発見される。極めてまれに、getaddrinfo 関数が解放されたメモリーにアクセスし、アプリケーションがクラッシュする

CVE-2023-4527

glibc で欠陥が発見される。getaddrinfo 関数が AF_UNSPEC アドレスファミリーで呼び出され、システムが /etc/resolv.conf 経由で no-aaaa モードで設定されている場合、2048 バイトを超える TCP 経由の DNS 応答により、関数が返すアドレスデータを通じてスタックコンテンツが開示され、クラッシュを引き起こす可能性がある