Amazon Linux 2：unzip（ALAS-2021-1604）

high Nessus プラグイン ID 146632

Language:

概要

リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。

説明

リモートのホストにインストールされているunzipのバージョンは、6.0-43より前です。したがって、ALAS2-2021-1604のアドバイザリに記載されている複数の脆弱性の影響を受けます。

-Info-ZIP UnZip 6.0 により、リモートの攻撃者がZIPアーカイブ内の空のbzip2データを介してサービス拒否（無限ループ）を引き起こすことが可能です。（CVE-2015-7697）

- Info-Zip UnZip 6.0のzipinfo.cのzi_short関数におけるバッファオーバーフローにより、リモートの攻撃者が、中央ディレクトリファイルヘッダーの圧縮方法の大きな値を介してサービス拒否（クラッシュ）を引き起こす可能性があります。（CVE-2016-9844）

- パスワードで保護されたアーカイブの処理中に、Info-Zip UnZipバージョン<= 6.00においてヒープベースのバッファオーバーフローが存在することにより、攻撃者がサービス拒否攻撃を実行したり、コードを実行したりする可能性があります。（CVE-2018-1000035）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。