SUSE SLES12 のセキュリティ更新プログラム: glibc (SUSE-SU-2022:2886-1)
high Nessus プラグイン ID 164426
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES12ホストには、SUSE-SU-2022:2886-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- 2.25 より前の glibc の libresolv の res_query により、リモート攻撃者が、サービス拒否 (NULL ポインターデリファレンスとプロセスのクラッシュ) を引き起こす可能性があります。(CVE-2015-5180)
-GNU Cライブラリ(別名glibcまたはlibc6)2.31以前のiconvプログラムは、-cオプションとともに宛先エンコーディング(TRANSLATEまたはIGNORE)で複数のサフィックスを付けて起動すると、無効なマルチバイトシーケンスの処理中に無限ループに陥り、サービス拒否が発生します。(CVE-2016-10228)
- 2.32までのGNU Cライブラリ（別名glibcまたはlibc6）のiconv機能において、EUC-KRエンコーディングで無効なマルチバイトの入力シーケンスが処理される場合、バッファオーバーリードが発生する可能性があります。（CVE-2019-25013）
-GNU Cライブラリ（別名glibcまたはlibc6）2.32以前iconv関数は、IBM1364、IBM1371、IBM1388、IBM1390、IBM1399 エンコーディングで無効なマルチバイト入力シーケンスを処理するとき、アプリケーションの無限ループにつながり、サービス拒否を引き起こす可能性があります。これは CVE-2016-10228とは別の脆弱性です。（CVE-2020-27618）
-GNU Cライブラリ（別名glibcまたはlibc6）2.30 〜 2.32のiconv関数は、変更できない文字を含むUCS4テキストを変換すると、コードパスでアサーションに失敗して、プログラムを中止し、サービス拒否に至る可能性があります。（CVE-2020-29562）
-関数のprintfファミリーへの入力が80ビットのdouble型である場合、x86ターゲット上の 2.23 より前のGNU Cライブラリ（別名glibcまたはlibc6）のsysdeps / i386 / ldbl2mpn.cにスタックベースのバッファオーバーフローがあります。これは、\ x00 \ x04 \ x00 \ x00 \ x00 \ x00 \ x00 \ x00 \ x00 \ x04の値をsprintfに渡す際に見られるように、非正規のビットパターンで注：2016年以降（2.23以降）のデフォルトでは、この問題はglibcに影響しません。これは、GCCビルトインの使用によるC99 math関数のインライン化に対して2015年に行われたコミットが原因です。言い換えれば、26649の参考資料のFix for glibc 2.33に言及されているにもかかわらず、2.23への記載は意図的なものです。
(CVE-2020-29573)
GNU Cライブラリ（別名glibcまたはlibc6）2.32以前のiconv関数は、ISO-2022-JP-3エンコーディングで無効な入力シーケンスを処理する場合、コードパスでアサーションに失敗して、プログラムを中止し、サービス拒否に至る可能性があります。（CVE-2021-3326）
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/941234
https://bugzilla.suse.com/1027496
https://bugzilla.suse.com/1178386
https://bugzilla.suse.com/1179694
https://bugzilla.suse.com/1179721
https://bugzilla.suse.com/1181505
https://bugzilla.suse.com/1182117
https://www.suse.com/security/cve/CVE-2015-5180
https://www.suse.com/security/cve/CVE-2016-10228
https://www.suse.com/security/cve/CVE-2019-25013
https://www.suse.com/security/cve/CVE-2020-27618
https://www.suse.com/security/cve/CVE-2020-29562
https://www.suse.com/security/cve/CVE-2020-29573
プラグインの詳細
深刻度: High
ID: 164426
ファイル名: suse_SU-2022-2886-1.nasl
バージョン: 1.5
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2022/8/25
更新日: 2023/7/14
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: High
基本値: 7.1
現状値: 5.6
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2019-25013
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2021-3326
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:glibc, p-cpe:/a:novell:suse_linux:glibc-32bit, p-cpe:/a:novell:suse_linux:glibc-devel, p-cpe:/a:novell:suse_linux:glibc-devel-32bit, p-cpe:/a:novell:suse_linux:glibc-html, p-cpe:/a:novell:suse_linux:glibc-i18ndata, p-cpe:/a:novell:suse_linux:glibc-info, p-cpe:/a:novell:suse_linux:glibc-locale, p-cpe:/a:novell:suse_linux:glibc-locale-32bit, p-cpe:/a:novell:suse_linux:glibc-profile, p-cpe:/a:novell:suse_linux:glibc-profile-32bit, p-cpe:/a:novell:suse_linux:nscd, cpe:/o:novell:suse_linux:12
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2022/8/24
脆弱性公開日: 2017/3/2
参照情報
CVE: CVE-2015-5180, CVE-2016-10228, CVE-2019-25013, CVE-2020-27618, CVE-2020-29562, CVE-2020-29573, CVE-2021-3326
SuSE: SUSE-SU-2022:2886-1