openSUSEセキュリティ更新プログラム：libzypp / zypper（openSUSE-2018-1017）
critical Nessus プラグイン ID 117524
Language:
概要
リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。説明
libzypp、zypper、libsolvのこの更新プログラムでは、以下の問題が修正されています：libzyppでのセキュリティ修正：
- CVE-2018-7685：PackageProvider：キャッシングの前にRPMを検証します（bsc#1091624、bsc#1088705）
- CVE-2017-9269：不良パッケージがキャッシュに残らないようにします（bsc#1045735）
libzyppでの変更：
- バージョン17.6.4に更新してください
- gpgkey urlからリポジトリ署名鍵を自動的に取得します（bsc#1088037）
- lsof：Isofがサポートしている場合、「-K i」を使用します（bsc#1099847、bsc#1036304）
- rpmdbからのマルチキーのインポート後に、インポートされていないキーをチェックします（bsc#1096217）
- Flags：std=c++14 対応にします
- zypper psで/var、/tmp、/procを無視します。 （bsc#1096617）
- ログでGPGMEのバージョンを示します
- 署名の検証を破損させるlibgpgme11-11.1.0の変更に適応します（bsc#1100427）
- RepoInfo: : provideKey：欠落しているキーを探す場所を示すレポートを追加します。
- repoファイルでのgpgkey URLのリストをサポートします（bsc#1088037）
- パッケージキーのインポートに関するユーザー承認をリクエストするために、新しいレポートを追加します
- curlバックエンドでhttpエラー502 Bad Gatewayを処理します（bsc#1070851）
- サイズが判明しているダウンロードに対するファイルサイズチェックを追加します（bsc#408814）
- 翻訳にある不要なスペースを削除しました（bsc#1102019）
- コミット中にシステムがスリープしないようにします
- RepoManager：repo2solvを明示的にリクエストして、アプリケーション疑似パッケージを生成します。
- libzypp-develはcmakeを必要としません（bsc#1101349）
- ExternalProgramからのゾンビを回避します
- ApiConfigを更新します
- HardLocksFile：ターゲットのない空のコミットがロードされるのを防ぎます（bsc#1096803）
- lsof：Isofがサポートしている場合、「-K i」を使用します（bsc#1099847）
- サイズが判明しているダウンロードに対するファイルサイズチェックを追加します（bsc#408814）
- メタリンクダウンロードの検出を修正し、メタリンクファイルが予想されるデータファイルより大きい場合に中止されないようにします。
- ビルド中にはlibsolv-devel >= 0.6.35が必要です（bsc#1100095の修正）
- ％licenseマクロを利用します（bsc#1082318）
zypperのセキュリティ修正：
- CVE-2017-9269：署名チェックコールバックメッセージを改善します（bsc#1045735）
zypperでの変更：
- 不明なリポジトリのnrがlrとrefに渡される場合は常に、エラーステータスを設定します（bsc#1093103）
- 古いrpmデータベースにあるサポートされていないrpm V3キーについてユーザーに通知します（bsc#1096217）
- システム変更操作で読み取り専用ファイルシステムを検出します（#199を修正）
- %licenseを使用します（bsc#1082318）
- PackageArgsパーサーで複数の「:」を含むrepoエイリアスを処理します（bsc #1041178）
- 詳細なクエリ結果の崩れた表示を修正します。
- ダッシュを使用するアイテムの破損した検索を修正します。 （bsc#907538、bsc#1043166、bsc#1070770）
- インストールされているパッケージの検索時にリポジトリ操作を無効にします。（bsc#1084525）
- シグナルで中断された場合、exit()へのネストされた呼び出しを防止します。
（bsc#1092413）
- ansi.h：ESCシーケンス文字列が範囲外になるのを防ぎます（bsc#1092413）
- いくつかの変換エラーを修正します。
- repoファイルでのgpgkey URLのリストをサポートします（bsc#1088037）
- zypper verifyおよびsiのroot権限をチェックします（bsc#1058515）
- XML <install-summary>属性の「packages-to-change」を追加しました（bsc#1102429）
- すべてのインストーラーコマンドにエキスパート（allow-*）オプションを追加します（bsc#428822）
- 検索結果を複数の列に基づいて並べ替えます（bsc#1066215）
- man：「--configファイル」がzypp.confではなくzypper.confに与える影響を強化します（bsc#1100028）
- lrとrefに渡されるリポジトリが不明な場合は、エラーステータスを設定します（bsc#1093103）
- 検索でテーブルスタイルをオーバーライドしません
- MbsIteratorでの領域外読み取りを修正します
- --supplementsスイッチを検索および情報に追加します
- zyppキャッシュに関連する構成値のセッター関数をZConfigに追加します
libsolvでの変更：
- repo2solv.shスクリプトをバイナリツールに変換します
- ％licenseマクロを利用します（bsc#1082318）
この更新プログラムは、SUSE: SLE-15: Update更新プロジェクトからインポートされました。
ソリューション
影響を受けるlibzypp/はzypperパッケージを更新してください。参考資料
https://bugzilla.opensuse.org/show_bug.cgi?id=1036304
https://bugzilla.opensuse.org/show_bug.cgi?id=1041178
https://bugzilla.opensuse.org/show_bug.cgi?id=1043166
https://bugzilla.opensuse.org/show_bug.cgi?id=1045735
https://bugzilla.opensuse.org/show_bug.cgi?id=1058515
https://bugzilla.opensuse.org/show_bug.cgi?id=1066215
https://bugzilla.opensuse.org/show_bug.cgi?id=1070770
https://bugzilla.opensuse.org/show_bug.cgi?id=1070851
https://bugzilla.opensuse.org/show_bug.cgi?id=1082318
https://bugzilla.opensuse.org/show_bug.cgi?id=1084525
https://bugzilla.opensuse.org/show_bug.cgi?id=1088037
https://bugzilla.opensuse.org/show_bug.cgi?id=1088705
https://bugzilla.opensuse.org/show_bug.cgi?id=1091624
https://bugzilla.opensuse.org/show_bug.cgi?id=1092413
https://bugzilla.opensuse.org/show_bug.cgi?id=1093103
https://bugzilla.opensuse.org/show_bug.cgi?id=1096217
https://bugzilla.opensuse.org/show_bug.cgi?id=1096617
https://bugzilla.opensuse.org/show_bug.cgi?id=1096803
https://bugzilla.opensuse.org/show_bug.cgi?id=1099847
https://bugzilla.opensuse.org/show_bug.cgi?id=1100028
https://bugzilla.opensuse.org/show_bug.cgi?id=1100095
https://bugzilla.opensuse.org/show_bug.cgi?id=1100427
https://bugzilla.opensuse.org/show_bug.cgi?id=1101349
https://bugzilla.opensuse.org/show_bug.cgi?id=1102019
https://bugzilla.opensuse.org/show_bug.cgi?id=1102429
https://bugzilla.opensuse.org/show_bug.cgi?id=408814
プラグインの詳細
深刻度: Critical
ID: 117524
ファイル名: openSUSE-2018-1017.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2018/9/17
更新日: 2021/1/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 7.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: Critical
基本値: 9.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:libsolv-debuginfo, p-cpe:/a:novell:opensuse:libsolv-debugsource, p-cpe:/a:novell:opensuse:libsolv-demo, p-cpe:/a:novell:opensuse:libsolv-demo-debuginfo, p-cpe:/a:novell:opensuse:libsolv-devel, p-cpe:/a:novell:opensuse:libsolv-devel-debuginfo, p-cpe:/a:novell:opensuse:libsolv-tools, p-cpe:/a:novell:opensuse:libsolv-tools-debuginfo, p-cpe:/a:novell:opensuse:libzypp, p-cpe:/a:novell:opensuse:libzypp-debuginfo, p-cpe:/a:novell:opensuse:libzypp-debugsource, p-cpe:/a:novell:opensuse:libzypp-devel, p-cpe:/a:novell:opensuse:perl-solv, p-cpe:/a:novell:opensuse:perl-solv-debuginfo, p-cpe:/a:novell:opensuse:python-solv, p-cpe:/a:novell:opensuse:python-solv-debuginfo, p-cpe:/a:novell:opensuse:python3-solv, p-cpe:/a:novell:opensuse:python3-solv-debuginfo, p-cpe:/a:novell:opensuse:ruby-solv, p-cpe:/a:novell:opensuse:ruby-solv-debuginfo, p-cpe:/a:novell:opensuse:zypper, p-cpe:/a:novell:opensuse:zypper-aptitude, p-cpe:/a:novell:opensuse:zypper-debuginfo, p-cpe:/a:novell:opensuse:zypper-debugsource, p-cpe:/a:novell:opensuse:zypper-log, cpe:/o:novell:opensuse:15.0
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
パッチ公開日: 2018/9/17
参照情報
CVE: CVE-2017-9269, CVE-2018-7685