The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dsa-5033 advisory.

  - OctoRPKI does not escape a URI with a filename containing .., this allows a repository to create a file,     (ex. rsync://example.org/repo/../../etc/cron.daily/evil.roa), which would then be written to disk outside     the base cache folder. This could allow for remote code execution on the host machine OctoRPKI is running     on. (CVE-2021-3907)

  - OctoRPKI does not limit the length of a connection, allowing for a slowloris DOS attack to take place     which makes OctoRPKI wait forever. Specifically, the repository that OctoRPKI sends HTTP requests to will     keep the connection open for a day before a response is returned, but does keep drip feeding new bytes to     keep the connection alive. (CVE-2021-3909)

  - FORT Validator versions prior to 1.5.2 will crash if an RPKI CA publishes an X.509 EE certificate. This     will lead to RTR clients such as BGP routers to lose access to the RPKI VRP data set, effectively     disabling Route Origin Validation. (CVE-2021-43114)

  - In NLnet Labs Routinator prior to 0.10.2, a validation run can be delayed significantly by an RRDP     repository by not answering but slowly drip-feeding bytes to keep the connection alive. This can be used     to effectively stall validation. While Routinator has a configurable time-out value for RRDP connections,     this time-out was only applied to individual read or write operations rather than the complete request.
    Thus, if an RRDP repository sends a little bit of data before that time-out expired, it can continuously     extend the time it takes for the request to finish. Since validation will only continue once the update of     an RRDP repository has concluded, this delay will cause validation to stall, leading to Routinator     continuing to serve the old data set or, if in the initial validation run directly after starting, never     serve any data at all. (CVE-2021-43173)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートのDebian 11 ホストには、dsa-5033 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OctoRPKI は、..を含むファイル名の URI をエスケープしません。これにより、リポジトリがファイルを作成する可能性があります (例：rsync: //example.org/repo/../../etc/cron.daily/evil.roa)。そしてベースキャッシュフォルダー外のディスクへ書き込まれます。これにより、OctoRPKI が実行されているホストマシンでリモートコードが実行される可能性があります。 (CVE-2021-3907)

  - OctoRPKI は接続の長さを制限しないため、slowloris DOS 攻撃が発生し、OctoRPKI が永久に待機する可能性があります。具体的には、OctoRPKI が HTTP リクエストを送信するリポジトリは、応答が返される前の 1 日間は接続を開いたままにしておきますが、新しいバイトをドリップフィードし続けて、接続を維持します。 (CVE-2021-3909)

  - RPKI CA が X.509 EE 証明書を発行すると、 1.5.2より前のバージョンの FORT Validator がクラッシュします。これにより、BGP ルーターなどの RTR クライアントが RPKI VRP データセットへのアクセスを失い、Route Origin Validation が事実上無効になります。 (CVE-2021-43114)

  - 0.10.2より前の NLnet Labs Routinator では、バイトを応答せずにゆっくりとドリップフィードすることで、RRDP リポジトリによって検証の実行が大幅に遅延し、接続が維持されます。これは、検証を効果的に停止させるために使用できます。Routinator には RRDP 接続に対して構成可能なタイムアウト値がありますが、このタイムアウトは完全なリクエストではなく、個々の読み取りまたは書き込み操作にのみ適用されていました。
    したがって、RRDP リポジトリがタイムアウトになる前に少しデータを送信すると、リクエストが完了するまでの時間を継続的に延長する可能性があります。検証は RRDP リポジトリの更新が終了した後にのみ続行されるため、この遅延により検証が停止し、Routinator が古いデータセットの提供を継続したり、開始後最初の検証を直接実行する場合は、まったくデータが提供されなくなったりします。 (CVE-2021-43173)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

遠端 Debian 11 主機上安裝的套件受 dsa-5033 公告中提及的多個弱點影響。

  - OctoRPKI 不會逸出檔案名稱中包含「..」的 URI，存放庫可藉此弱點建立檔案 (例如 rsync: //example.org/repo/../../etc/cron.daily/evil.roa)，然後將其寫入基本快取資料夾之外的磁碟。而這將允許在執行 OctoRPKI 的主機上執行遠端程式碼。(CVE-2021-3907)

  - OctoRPKI 未限制連線長度，進而允許發動 slowloris DOS 攻擊，以使 OctoRPKI 永遠處於等待狀態。具體而言，接收 OctoRPKI 傳送之 HTTP 要求的存放庫會保持連線在一天內持續開啟，然後再傳回回應，但會在此期間繼續提供新的位元組以使連線持續作用。(CVE-2021-3909)

  - 如果 RPKI CA 發布 X.509 EE 憑證，早於 1.5.2 版的 FORT Validator 將會當機。這將導致 RTR 用戶端 (如 BGP 路由器) 失去對 RPKI VRP 資料集的存取權，進而有效停用路由來源驗證。(CVE-2021-43114)

  - 在早於 0.10.2 版的 NLnet Labs Routerator 中，RRDP 存放庫可大幅延遲執行驗證，採用的方法是不回應但緩慢提供位元組以使連線持續作用。這可用於有效懸置驗證。雖然 Routizer 中有一個可設定的 RRDP 連線逾時值，但此逾時只會套用至個別的讀取或寫入作業，而非完整的要求。
    因此，如果 RRDP 存放庫在該逾時到期之前傳送了少許資料，它會持續延長完成要求所需的時間。由於只有在 RRDP 存放庫的更新結束後才會繼續進行驗證，因此該延遲將導致驗證懸置，進而導致 Routizer 繼續提供舊的資料集；或者，如果在啟動後直接執行初始驗證，Routizer 將不會提供任何資料。(CVE-2021-43173)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Debian 11 主机上安装的程序包受到 dsa-5033 公告中提及的多个漏洞影响。

  - OctoRPKI 不会转义文件名中包含“..”的 URI，这会允许存储库创建文件（例如 rsync: //example.org/repo/../../etc/cron.daily/evil.roa），然后将其写入基本缓存文件夹以外的磁盘。而该操作可能允许在运行 OctoRPKI 的主机上执行远程代码。(CVE-2021-3907)

  - OctoRPKI 未限制连接长度，这将允许发动 slowloris DOS 攻击，从而导致 OctoRPKI 永远处于等待状态。具体来说，OctoRPKI 向其发送 HTTP 请求的存储库将在返回响应之前，保持连接打开一天时间，但会不断输入新字节以保持连接处于活动状态。(CVE-2021-3909)

  - 如果 RPKI CA 发布 X.509 EE 证书，则低于 1.5.2 版的 FORT Validator 将会崩溃。这将导致 BGP 路由器等 RTR 客户端失去对 RPKI VRP 数据集的访问权限，从而有效禁用路由来源验证。(CVE-2021-43114)

  - 在 0.10.2 之前版本的 NLnet Labs Routerator 中，RRDP 存储库可通过不响应而是缓慢输入字节来保持连接处于活动状态，从而显著延迟运行验证程序。这可用于有效暂缓验证。尽管 Routerator 具有用于 RRDP 连接的可配置超时值，但此超时仅应用于单个读取或写入操作，而不是完整的请求。
    因此，如果 RRDP 存储库在该超时到期之前发送了少量数据，则它可以持续延长完成请求所需的时间。由于验证程序仅会在 RRDP 存储库更新结束后才会继续进行，因此该延迟将导致验证暂缓，进而导致 Routator 继续提供旧数据集，或者如果在初始验证开始后直接运行 Routator，则它将不会提供任何数据。(CVE-2021-43173)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	Name	Product	Family	Published	Updated	Severity
156442	Debian DSA-5033-1 : fort-validator - security update	Nessus	Debian Local Security Checks	12/31/2021	12/31/2021	critical
156442	Debian DSA-5033-1: fort-validator - セキュリティ更新	Nessus	Debian Local Security Checks	12/31/2021	12/31/2021	critical
156442	Debian DSA-5033-1：fort-validator - 安全性更新	Nessus	Debian Local Security Checks	12/31/2021	12/31/2021	critical
156442	Debian DSA-5033-1：fort-validator - 安全更新	Nessus	Debian Local Security Checks	12/31/2021	12/31/2021	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical