Amazon Linux 2:libevent(ALAS-2019-1359)

high Nessus プラグイン ID 131027

概要

リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。

説明

1.4.15より前の1.4.x、2.0.22より前の2.0.x、2.1.5-betaより前の2.1.xのLibeventのevbuffer APIにおける複数の整数オーバーフローにより、コンテキスト依存の攻撃者が(1)evbuffer_add、(2)evbuffer_expand、または(3)bufferevent_write関数への「非常に大きな入力」によって、サービス拒否を引き起こしたり、その他の詳細不明な影響を与える可能性があり、これによりヒープベースのバッファオーバーフローや無限ループを引き起こされる可能性があります。注:この識別子は、影響を受けるバージョンがさまざまであるため、ADT3ごとに分割されています。2.0以降でのみ影響を受ける関数については、CVE-2015-6525を参照してください。(CVE-2014-6272)libeventのevbuffer APIに複数の整数オーバーフローの欠陥が見つかりました。APIを使用することによって、アプリケーションに過度に長い入力をlibeventに渡させることができる攻撃者が、これらの欠陥を悪用し、アプリケーションを無限ループに入らせたり、クラッシュさせたり、場合によっては任意のコードを実行したりする可能性があります。(CVE-2015-6525)

ソリューション

「yum update libevent」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com/AL2/ALAS-2019-1359.html

プラグインの詳細

深刻度: High

ID: 131027

ファイル名: al2_ALAS-2019-1359.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

公開日: 2019/11/15

更新日: 2024/4/11

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.5

CVSS v2

リスクファクター: High

基本値: 7.5

現状値: 5.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2015-6525

脆弱性情報

CPE: p-cpe:/a:amazon:linux:libevent, p-cpe:/a:amazon:linux:libevent-debuginfo, p-cpe:/a:amazon:linux:libevent-devel, p-cpe:/a:amazon:linux:libevent-doc, cpe:/o:amazon:linux:2

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2019/11/14

脆弱性公開日: 2015/8/24

参照情報

CVE: CVE-2014-6272, CVE-2015-6525

ALAS: 2019-1359