SUSE SLED15 / SLES15セキュリティ更新プログラム:libzypp、zypper(SUSE-SU-2018:2690-1)

critical Nessus プラグイン ID 120097

Language:

概要

リモートのSUSEホストに1つ以上のセキュリティ更新がありません。

説明

libzypp、zypper、libsolvのこの更新プログラムでは、以下の問題が修正されています:

libzyppでのセキュリティ修正:

CVE-2018-7685:PackageProvider:キャッシングの前にRPMを検証します(bsc#1091624、bsc#1088705)

CVE-2017-9269:不良パッケージがキャッシュに残らないようにします(bsc#1045735)

libzyppでの変更:バージョン17.6.4への更新

gpgkey urlからリポジトリ署名鍵を自動的に取得します(bsc#1088037)

lsof:Isofがサポートしている場合、「-K i」を使用します(bsc#1099847、bsc#1036304)

- rpmdbからのマルチキーのインポート後に、インポートされていないキーをチェックします(bsc#1096217)

Flags:std=c++14 対応にします

-zypper psで/var、/tmpおよび/procを無視します。(bsc#1096617)

ログでGPGMEのバージョンを示します

署名の検証を破損させるlibgpgme11-11.1.0の変更に適応します(bsc#1100427)

RepoInfo::provideKey:欠落しているキーを探す場所を示すレポートを追加します。

repoファイルでのgpgkey URLのリストをサポートします(bsc#1088037)

パッケージキーのインポートに関するユーザー承認をリクエストするために、新しいレポートを追加します

curlバックエンドでhttpエラー502 Bad Gatewayを処理します(bsc#1070851)

サイズが判明しているダウンロードに対するファイルサイズチェックを追加します(bsc#408814)

翻訳にある不要なスペースを削除しました(bsc#1102019)

コミット中にシステムがスリープしないようにします

RepoManager:repo2solvを明示的にリクエストして、アプリケーション疑似パッケージを生成します。

libzypp-develはcmakeを必要としません(bsc#1101349)

ExternalProgramからのゾンビを回避します

ApiConfigを更新します

HardLocksFile:ターゲットのない空のコミットがロードされるのを防ぎます(bsc#1096803)

lsof:Isofがサポートしている場合、「-K i」を使用します(bsc#1099847)

サイズが判明しているダウンロードに対するファイルサイズチェックを追加します(bsc#408814)

メタリンクダウンロードの検出を修正し、メタリンクファイルが予想されるデータファイルより大きい場合に中止されないようにします。

ビルド中にはlibsolv-devel >= 0.6.35が必要です(bsc#1100095の修正)

%licenseマクロを利用します(bsc#1082318)

zypperのセキュリティ修正:CVE-2017-9269:署名チェックコールバックメッセージを改善します(bsc#1045735)

zypperでの変更:- 不明なリポジトリのnrがlrとrefに渡される場合は常に、エラーステータスを設定します(bsc#1093103)

古いrpmデータベースにあるサポートされていないrpm V3キーについてユーザーに通知します(bsc#1096217)

システム変更操作で読み取り専用ファイルシステムを検出します(#199を修正)

%licenseを使用します(bsc#1082318)

PackageArgsパーサーで複数の「:」を含むrepoエイリアスを処理します(bsc #1041178)

詳細なクエリ結果の崩れた表示を修正します。

ダッシュを使用するアイテムの破損した検索を修正します。(bsc#907538、bsc#1043166、bsc#1070770)

インストールされているパッケージの検索時にリポジトリ操作を無効にします。
(bsc#1084525)

シグナルで中断された場合、exit()へのネストされた呼び出しを防ぎます(bsc#1092413)

ansi.h:ESCシーケンス文字列が範囲外になるのを防ぎます。
(bsc#1092413)

いくつかの変換エラーを修正します。

repoファイルでのgpgkey URLのリストをサポートします(bsc#1088037)

zypper verifyおよびsiのroot権限をチェックします(bsc#1058515)

XML <install-summary>属性の「packages-to-change」が</install-summary>を追加しました(bsc#1102429)

すべてのインストーラーコマンドにエキスパート(allow-*)オプションを追加します(bsc#428822)

検索結果を複数の列に基づいて並べ替えます(bsc#1066215)

man:「--configファイル」がzypp.confではなくzypper.confに与える影響を強化します(bsc#1100028)

lrとrefに渡されるリポジトリが不明な場合は、エラーステータスを設定します(bsc#1093103)

検索でテーブルスタイルをオーバーライドしません

MbsIteratorでの領域外読み取りを修正します

--supplementsスイッチを検索および情報に追加します

zyppキャッシュに関連する構成値のセッター関数をZConfigに追加します

libsolvでの変更:repo2solv.shスクリプトをバイナリツールに変換します

%licenseマクロを利用します(bsc#1082318)

注意:Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ソリューション

このSUSEセキュリティ更新プログラムをインストールするには、YaSTのonline_updateや「zypper patch」など、SUSEが推奨するインストール方法を使用してください。

別の方法として、製品にリストされているコマンドを実行することができます:

SUSE Linux Enterprise Module for Development Tools 15:zypper in -t patch SUSE-SLE-Module-Development-Tools-15-2018-1883=1

SUSE Linux Enterprise Module for Basesystem 15:zypper in -t patch SUSE-SLE-Module-Basesystem-15-2018-1883=1

参考資料

https://bugzilla.suse.com/show_bug.cgi?id=1036304

https://bugzilla.suse.com/show_bug.cgi?id=1045735

https://bugzilla.suse.com/show_bug.cgi?id=1070851

https://bugzilla.suse.com/show_bug.cgi?id=1088705

https://bugzilla.suse.com/show_bug.cgi?id=1091624

https://bugzilla.suse.com/show_bug.cgi?id=1092413

https://bugzilla.suse.com/show_bug.cgi?id=1096803

https://bugzilla.suse.com/show_bug.cgi?id=1099847

https://bugzilla.suse.com/show_bug.cgi?id=1100028

https://bugzilla.suse.com/show_bug.cgi?id=1101349

https://bugzilla.suse.com/show_bug.cgi?id=1102429

https://www.suse.com/security/cve/CVE-2017-9269/

https://www.suse.com/security/cve/CVE-2018-7685/

https://bugzilla.suse.com/show_bug.cgi?id=1082318

https://bugzilla.suse.com/show_bug.cgi?id=1041178

https://bugzilla.suse.com/show_bug.cgi?id=1043166

https://bugzilla.suse.com/show_bug.cgi?id=1058515

https://bugzilla.suse.com/show_bug.cgi?id=1066215

https://bugzilla.suse.com/show_bug.cgi?id=1070770

https://bugzilla.suse.com/show_bug.cgi?id=1084525

https://bugzilla.suse.com/show_bug.cgi?id=1088037

https://bugzilla.suse.com/show_bug.cgi?id=1093103

https://bugzilla.suse.com/show_bug.cgi?id=1096217

https://bugzilla.suse.com/show_bug.cgi?id=1096617

https://bugzilla.suse.com/show_bug.cgi?id=1100095

https://bugzilla.suse.com/show_bug.cgi?id=1100427

https://bugzilla.suse.com/show_bug.cgi?id=1102019

https://bugzilla.suse.com/show_bug.cgi?id=408814

https://bugzilla.suse.com/show_bug.cgi?id=428822

https://bugzilla.suse.com/show_bug.cgi?id=907538

http://www.nessus.org/u?59f912e0

プラグインの詳細

深刻度: Critical

ID: 120097

ファイル名: suse_SU-2018-2690-1.nasl

バージョン: 1.5

タイプ: local

エージェント: unix

公開日: 2019/1/2

更新日: 2024/7/10

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: High

基本値: 7.5

現状値: 5.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2017-9269

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:libzypp, p-cpe:/a:novell:suse_linux:libzypp-debuginfo, p-cpe:/a:novell:suse_linux:libzypp-debugsource, p-cpe:/a:novell:suse_linux:zypper, p-cpe:/a:novell:suse_linux:zypper-debuginfo, p-cpe:/a:novell:suse_linux:zypper-debugsource, p-cpe:/a:novell:suse_linux:libsolv-debuginfo, p-cpe:/a:novell:suse_linux:libsolv-debugsource, p-cpe:/a:novell:suse_linux:libsolv-devel, p-cpe:/a:novell:suse_linux:libsolv-devel-debuginfo, p-cpe:/a:novell:suse_linux:libsolv-tools, p-cpe:/a:novell:suse_linux:libsolv-tools-debuginfo, p-cpe:/a:novell:suse_linux:libzypp-devel, p-cpe:/a:novell:suse_linux:perl-solv, p-cpe:/a:novell:suse_linux:perl-solv-debuginfo, p-cpe:/a:novell:suse_linux:python-solv, p-cpe:/a:novell:suse_linux:python-solv-debuginfo, p-cpe:/a:novell:suse_linux:python3-solv, p-cpe:/a:novell:suse_linux:python3-solv-debuginfo, p-cpe:/a:novell:suse_linux:ruby-solv, p-cpe:/a:novell:suse_linux:ruby-solv-debuginfo

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2018/9/11

脆弱性公開日: 2018/3/1

参照情報

CVE: CVE-2017-9269, CVE-2018-7685