リモートの Ubuntu 18.04 LTS/20.04 LTS/21.04/21.10ホストにUSN-5179-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.32.1までのBusyBoxのdecompress_gunzip.cは、huft_build結果ポインターでエラービットを不適切に処理します。これにより、不正なgzipデータを介して、無効な解放またはセグメンテーション違反が引き起こされます。（CVE-2021-28831）

  - Busybox の unlzma アプレットでの領域外ヒープ読み取りにより、細工された LZMA 圧縮入力が展開されるときに、情報漏洩およびサービス拒否が発生します。これは、任意のアプレット/フォーマットによって引き起こされる可能性があります (CVE-2021-42374)

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、getvar_i 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42378)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、next_input_file 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42379)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、clrvar 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42380)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、hash_init 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42381)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、getvar_s 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42382)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、handle_special 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42384)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、evaluate 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42385)。

  - Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、nvalloc 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります (CVE-2021-42386)。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 18.04 LTS / 20.04 LTS : BusyBox の脆弱性 (USN-5179-1)

critical Nessus プラグイン ID 155939

バージョン 1.6