軽量httpプロキシデーモンtinyproxyにおいて、セキュリティ上の軽微な問題およびパッケージングの重大なバグが修正されました。

CVE-2017-11747

Tinyproxyのmain.cにおいて、非rootアカウントに対する権限を削除した後に/var/run/tinyproxy/tinyproxy.pidファイルが作成されていました。それにより、ローカルユーザーがこの非rootアカウントへのアクセス権限を利用して、rootスクリプトが'kill `cat /run/tinyproxy/tinyproxy.pid`'のコマンドを実行する前にtinyproxy.pidに変更を加えることにより、任意のプロセスをkillする可能性がありました。

その他

さらに、Tim Dusterhus氏により、tinyproxyのためのDebianのinitスクリプトに重大な欠陥が検出されました。PidFileオプションを削除したtiny.conf構成ファイルにより、次回loglogateが実行された際に（インストールされている場合）、システムのベースディレクトリ（「/」）の所有者がtinyproxy:tinyproxyに変更されることが発生していました。

Debian 8「Jessie」では、この問題はバージョン1.8.3-3+deb8u1で修正されました。これらの修正は、Mike Gabriel氏により準備されました。

使用しているtinyproxyのパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2163-1 : tinyproxyセキュリティ更新プログラム

medium Nessus プラグイン ID 135098

バージョン 1.5