軽量メッセージングカーネルライブラリであるZeroMQが、ハンドシェイクが完了する前に接続ピアを適切に処理していないことが判明しました。libzmqライブラリを使用するアプリケーションに接続し、CURVE暗号化/認証を使用してリスニングするソケットを有効にして実行している認証されていないリモートクライアントは、この欠陥を悪用してサービス拒否を引き起こし、認証済みで暗号化されたクライアントに影響を及ぼす可能性があります。

Debian 9「Stretch」では、この問題はバージョン4.2.1-4+deb9u3で修正されています。

お使いのzeromq3パッケージをアップグレードすることを推奨します。

zeromq3の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/zeromq3

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2443-1: zeromq3セキュリティ更新

high Nessus プラグイン ID 142861

変更ログが見つかりません