SUSE SLED15 / SLES15セキュリティ更新プログラム：libzypp、zypper（SUSE-SU-2018:2690-1）
critical Nessus プラグイン ID 120097
Language:
概要
リモートのSUSEホストに1つ以上のセキュリティ更新がありません。説明
libzypp、zypper、libsolvのこの更新プログラムでは、以下の問題が修正されています：libzyppでのセキュリティ修正：
CVE-2018-7685：PackageProvider：キャッシングの前にRPMを検証します（bsc#1091624、bsc#1088705）
CVE-2017-9269：不良パッケージがキャッシュに残らないようにします（bsc#1045735）
libzyppでの変更：バージョン17.6.4への更新
gpgkey urlからリポジトリ署名鍵を自動的に取得します（bsc#1088037）
lsof：Isofがサポートしている場合、「-K i」を使用します（bsc#1099847、bsc#1036304）
- rpmdbからのマルチキーのインポート後に、インポートされていないキーをチェックします（bsc#1096217）
Flags：std=c++14 対応にします
-zypper psで/var、/tmpおよび/procを無視します。（bsc#1096617）
ログでGPGMEのバージョンを示します
署名の検証を破損させるlibgpgme11-11.1.0の変更に適応します（bsc#1100427）
RepoInfo：：provideKey：欠落しているキーを探す場所を示すレポートを追加します。
repoファイルでのgpgkey URLのリストをサポートします（bsc#1088037）
パッケージキーのインポートに関するユーザー承認をリクエストするために、新しいレポートを追加します
curlバックエンドでhttpエラー502 Bad Gatewayを処理します（bsc#1070851）
サイズが判明しているダウンロードに対するファイルサイズチェックを追加します（bsc#408814）
翻訳にある不要なスペースを削除しました（bsc#1102019）
コミット中にシステムがスリープしないようにします
RepoManager：repo2solvを明示的にリクエストして、アプリケーション疑似パッケージを生成します。
libzypp-develはcmakeを必要としません（bsc#1101349）
ExternalProgramからのゾンビを回避します
ApiConfigを更新します
HardLocksFile：ターゲットのない空のコミットがロードされるのを防ぎます（bsc#1096803）
lsof：Isofがサポートしている場合、「-K i」を使用します（bsc#1099847）
サイズが判明しているダウンロードに対するファイルサイズチェックを追加します（bsc#408814）
メタリンクダウンロードの検出を修正し、メタリンクファイルが予想されるデータファイルより大きい場合に中止されないようにします。
ビルド中にはlibsolv-devel >= 0.6.35が必要です（bsc#1100095の修正）
％licenseマクロを利用します（bsc#1082318）
zypperのセキュリティ修正：CVE-2017-9269：署名チェックコールバックメッセージを改善します（bsc#1045735）
zypperでの変更：- 不明なリポジトリのnrがlrとrefに渡される場合は常に、エラーステータスを設定します（bsc#1093103）
古いrpmデータベースにあるサポートされていないrpm V3キーについてユーザーに通知します（bsc#1096217）
システム変更操作で読み取り専用ファイルシステムを検出します（#199を修正）
%licenseを使用します（bsc#1082318）
PackageArgsパーサーで複数の「：」を含むrepoエイリアスを処理します（bsc #1041178）
詳細なクエリ結果の崩れた表示を修正します。
ダッシュを使用するアイテムの破損した検索を修正します。（bsc#907538、bsc#1043166、bsc#1070770）
インストールされているパッケージの検索時にリポジトリ操作を無効にします。
（bsc#1084525）
シグナルで中断された場合、exit()へのネストされた呼び出しを防ぎます（bsc#1092413）
ansi.h：ESCシーケンス文字列が範囲外になるのを防ぎます。
（bsc#1092413）
いくつかの変換エラーを修正します。
repoファイルでのgpgkey URLのリストをサポートします（bsc#1088037）
zypper verifyおよびsiのroot権限をチェックします（bsc#1058515）
XML <install-summary>属性の「packages-to-change」が</install-summary>を追加しました（bsc#1102429）
すべてのインストーラーコマンドにエキスパート（allow-*）オプションを追加します（bsc#428822）
検索結果を複数の列に基づいて並べ替えます（bsc#1066215）
man：「--configファイル」がzypp.confではなくzypper.confに与える影響を強化します（bsc#1100028）
lrとrefに渡されるリポジトリが不明な場合は、エラーステータスを設定します（bsc#1093103）
検索でテーブルスタイルをオーバーライドしません
MbsIteratorでの領域外読み取りを修正します
--supplementsスイッチを検索および情報に追加します
zyppキャッシュに関連する構成値のセッター関数をZConfigに追加します
libsolvでの変更：repo2solv.shスクリプトをバイナリツールに変換します
％licenseマクロを利用します（bsc#1082318）
注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。
ソリューション
このSUSEセキュリティ更新プログラムをインストールするには、YaSTのonline_updateや「zypper patch」など、SUSEが推奨するインストール方法を使用してください。別の方法として、製品にリストされているコマンドを実行することができます：
SUSE Linux Enterprise Module for Development Tools 15：zypper in -t patch SUSE-SLE-Module-Development-Tools-15-2018-1883=1
SUSE Linux Enterprise Module for Basesystem 15：zypper in -t patch SUSE-SLE-Module-Basesystem-15-2018-1883=1
参考資料
https://bugzilla.suse.com/show_bug.cgi?id=1036304
https://bugzilla.suse.com/show_bug.cgi?id=1041178
https://bugzilla.suse.com/show_bug.cgi?id=1043166
https://bugzilla.suse.com/show_bug.cgi?id=1045735
https://bugzilla.suse.com/show_bug.cgi?id=1058515
https://bugzilla.suse.com/show_bug.cgi?id=1066215
https://bugzilla.suse.com/show_bug.cgi?id=1070770
https://bugzilla.suse.com/show_bug.cgi?id=1070851
https://bugzilla.suse.com/show_bug.cgi?id=1082318
https://bugzilla.suse.com/show_bug.cgi?id=1084525
https://bugzilla.suse.com/show_bug.cgi?id=1088037
https://bugzilla.suse.com/show_bug.cgi?id=1088705
https://bugzilla.suse.com/show_bug.cgi?id=1091624
https://bugzilla.suse.com/show_bug.cgi?id=1092413
https://bugzilla.suse.com/show_bug.cgi?id=1093103
https://bugzilla.suse.com/show_bug.cgi?id=1096217
https://bugzilla.suse.com/show_bug.cgi?id=1096617
https://bugzilla.suse.com/show_bug.cgi?id=1096803
https://bugzilla.suse.com/show_bug.cgi?id=1099847
https://bugzilla.suse.com/show_bug.cgi?id=1100028
https://bugzilla.suse.com/show_bug.cgi?id=1100095
https://bugzilla.suse.com/show_bug.cgi?id=1100427
https://bugzilla.suse.com/show_bug.cgi?id=1101349
https://bugzilla.suse.com/show_bug.cgi?id=1102019
https://bugzilla.suse.com/show_bug.cgi?id=1102429
https://bugzilla.suse.com/show_bug.cgi?id=408814
https://bugzilla.suse.com/show_bug.cgi?id=428822
https://bugzilla.suse.com/show_bug.cgi?id=907538
https://www.suse.com/security/cve/CVE-2017-9269/
プラグインの詳細
深刻度: Critical
ID: 120097
ファイル名: suse_SU-2018-2690-1.nasl
バージョン: 1.4
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2019/1/2
更新日: 2021/1/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:libsolv-debuginfo, p-cpe:/a:novell:suse_linux:libsolv-debugsource, p-cpe:/a:novell:suse_linux:libsolv-devel, p-cpe:/a:novell:suse_linux:libsolv-devel-debuginfo, p-cpe:/a:novell:suse_linux:libsolv-tools, p-cpe:/a:novell:suse_linux:libsolv-tools-debuginfo, p-cpe:/a:novell:suse_linux:libzypp, p-cpe:/a:novell:suse_linux:libzypp-debuginfo, p-cpe:/a:novell:suse_linux:libzypp-debugsource, p-cpe:/a:novell:suse_linux:libzypp-devel, p-cpe:/a:novell:suse_linux:perl-solv, p-cpe:/a:novell:suse_linux:perl-solv-debuginfo, p-cpe:/a:novell:suse_linux:python-solv, p-cpe:/a:novell:suse_linux:python-solv-debuginfo, p-cpe:/a:novell:suse_linux:python3-solv, p-cpe:/a:novell:suse_linux:python3-solv-debuginfo, p-cpe:/a:novell:suse_linux:ruby-solv, p-cpe:/a:novell:suse_linux:ruby-solv-debuginfo, p-cpe:/a:novell:suse_linux:zypper, p-cpe:/a:novell:suse_linux:zypper-debuginfo, p-cpe:/a:novell:suse_linux:zypper-debugsource, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2018/9/11
脆弱性公開日: 2018/3/1
参照情報
CVE: CVE-2017-9269, CVE-2018-7685