Debian DLA-1565-1: glusterfsのセキュリティ更新
high Nessus プラグイン ID 118733
Language:
概要
リモートの Debian ホストにセキュリティ更新プログラムがありません。説明
クラスターファイルシステムのGlusterFSにセキュリティ上の脆弱性が複数発見されました。バッファオーバーフローおよびパストラバーサルの問題により、情報漏洩、サービス拒否または任意のコード実行が引き起こされる可能性があります。CVE-2018-14651
CVE-2018-10927、CVE-2018-10928、CVE-2018-10929、CVE-2018-10930、CVE-2018-10926の修正が不完全であることが判明しました。認証されたリモートの攻撃者が、これらの欠陥の1つを利用して、相対パスへのシンボリックリンクを介して、glusterfsサーバーノードで任意のコードの実行、任意のファイルの作成、またはサービス拒否を引き起こす可能性があります。
CVE-2018-14652
Glusterファイルシステムは、「pl_getxattr」関数で「GF_XATTR_CLRLK_CMD」拡張ファイル属性を処理するコードを介した、「features/index」トランスレーターにおけるバッファオーバーフローに脆弱です。認証されたリモートの攻撃者がマウントされたボリュームでこれを悪用して、サービス拒否を引き起こす可能性があります。
CVE-2018-14653
Glusterファイルシステムは、「gf_getspec_req」RPCメッセージによる「__server_getspec」関数でのヒープベースのバッファオーバーフローに脆弱です。認証されたリモートの攻撃者がこれを悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を及ぼしたりする可能性があります。
CVE-2018-14659
Glusterファイルシステムは、「GF_XATTR_IOSTATS_DUMP_KEY」拡張ファイル属性の使用によるサービス拒否攻撃に脆弱です。認証されたリモートの攻撃者がこれを悪用し、Glusterボリュームをマウントし、「setxattr(2)」を繰り返し呼び出すことで状態ダンプをトリガーし、サーバーのランタイムディレクトリに任意の数のファイルを作成する可能性があります。
CVE-2018-14661
glusterfsサーバーのfeature/locksトランスレーターのsnprintf関数を使用すると、フォーマット文字列攻撃に対して脆弱であることがわかりました。認証されたリモートの攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。
Debian 8「Jessie」では、これらの問題はバージョン3.5.2-2+deb8u5で修正されました。
glusterfsパッケージをアップグレードすることをお勧めします。
注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。
ソリューション
影響を受けるパッケージをアップグレードしてください。参考資料
https://lists.debian.org/debian-lts-announce/2018/11/msg00003.html
プラグインの詳細
深刻度: High
ID: 118733
ファイル名: debian_DLA-1565.nasl
バージョン: 1.5
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2018/11/6
更新日: 2021/1/11
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.5
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS v3
リスクファクター: High
基本値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:glusterfs-client, p-cpe:/a:debian:debian_linux:glusterfs-common, p-cpe:/a:debian:debian_linux:glusterfs-dbg, p-cpe:/a:debian:debian_linux:glusterfs-server, cpe:/o:debian:debian_linux:8.0
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
パッチ公開日: 2018/11/5
参照情報
CVE: CVE-2018-14651, CVE-2018-14652, CVE-2018-14653, CVE-2018-14659, CVE-2018-14661