Amazon Linux AMI:glibc(ALAS-2017-877)

critical Nessus プラグイン ID 102865

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

catopen関数で無制限のスタック割り当て:スタックベースのバッファオーバーフローの脆弱性が、catopen()関数に見つかりました。関数に渡される過度に長い文字列は、クラッシュや任意のコードの実行を引き起こす可能性があります。(CVE-2015-8779)hcreate()およびhcreate_r()の整数オーバーフロー:領域外メモリへのアクセスを引き起こす可能性がある整数オーバーフローの脆弱性が、hcreate()関数およびhcreate_r()関数に見つかりました。これにより、アプリケーションクラッシュおよび任意のコード実行が発生する可能性があります。(CVE-2015-8778)nan*関数の無制限スタック割り当て:nan*関数を使用して長い文字列を処理するアプリケーションがクラッシュする、または任意のコードが実行される可能性のあるスタックオーバーフローの脆弱性が、nan関数に見つかりました。(CVE-2014-9761)サニタイズされていない環境のLD_POINTER_GUARD:動的ローダーがLD_POINTER_GUARD環境変数をサニタイズしていないことがわかりました。攻撃者はこの欠陥を利用して、set-user-IDまたはset-group-IDプログラム上のポインター保護をバイパスし、アプリケーションを実行しているユーザーのアクセス許可で任意のコードを実行する可能性があります。(CVE-2015-8777)strftime()へ領域外データを渡すことでセグメンテーション違反が発生:strftime()関数に渡される範囲外の時間値が、領域外メモリへのアクセスを引き起こす可能性があることがわかりました。これにより、アプリケーションクラッシュおよび情報漏えいが発生する可能性があります。(CVE-2015-8776)

ソリューション

「yum update glibc」を実行してシステムを更新してください。

関連情報

https://alas.aws.amazon.com/ALAS-2017-877.html

プラグインの詳細

深刻度: Critical

ID: 102865

ファイル名: ala_ALAS-2017-877.nasl

バージョン: 3.2

タイプ: local

エージェント: unix

公開日: 2017/9/1

更新日: 2018/4/18

サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

Base Score: 7.5

ベクトル: AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

リスクファクター: Critical

Base Score: 9.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

脆弱性情報

CPE: p-cpe:/a:amazon:linux:glibc, p-cpe:/a:amazon:linux:glibc-common, p-cpe:/a:amazon:linux:glibc-debuginfo, p-cpe:/a:amazon:linux:glibc-debuginfo-common, p-cpe:/a:amazon:linux:glibc-devel, p-cpe:/a:amazon:linux:glibc-headers, p-cpe:/a:amazon:linux:glibc-static, p-cpe:/a:amazon:linux:glibc-utils, p-cpe:/a:amazon:linux:nscd, cpe:/o:amazon:linux

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

パッチ公開日: 2017/8/31

参照情報

CVE: CVE-2014-9761, CVE-2015-8776, CVE-2015-8777, CVE-2015-8778, CVE-2015-8779

ALAS: 2017-877