深刻度

テーマ

SUSE SLES12 のセキュリティ更新プログラム: glibc (SUSE-SU-2022:2886-1)

high Nessus プラグイン ID 164426

言語:

概要

リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。

説明

リモートの SUSE Linux SLES12ホストには、SUSE-SU-2022:2886-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 2.25 より前の glibc の libresolv の res_query により、リモート攻撃者が、サービス拒否 (NULL ポインターデリファレンスとプロセスのクラッシュ) を引き起こす可能性があります。(CVE-2015-5180)

-GNU Cライブラリ(別名glibcまたはlibc6)2.31以前のiconvプログラムは、-cオプションとともに宛先エンコーディング(TRANSLATEまたはIGNORE)で複数のサフィックスを付けて起動すると、無効なマルチバイトシーケンスの処理中に無限ループに陥り、サービス拒否が発生します。(CVE-2016-10228)

- 2.32までのGNU Cライブラリ（別名glibcまたはlibc6）のiconv機能において、EUC-KRエンコーディングで無効なマルチバイトの入力シーケンスが処理される場合、バッファオーバーリードが発生する可能性があります。（CVE-2019-25013）

-GNU Cライブラリ（別名glibcまたはlibc6）2.32以前iconv関数は、IBM1364、IBM1371、IBM1388、IBM1390、IBM1399 エンコーディングで無効なマルチバイト入力シーケンスを処理するとき、アプリケーションの無限ループにつながり、サービス拒否を引き起こす可能性があります。これは CVE-2016-10228とは別の脆弱性です。（CVE-2020-27618）

-GNU Cライブラリ（別名glibcまたはlibc6）2.30 〜 2.32のiconv関数は、変更できない文字を含むUCS4テキストを変換すると、コードパスでアサーションに失敗して、プログラムを中止し、サービス拒否に至る可能性があります。（CVE-2020-29562）

-関数のprintfファミリーへの入力が80ビットのdouble型である場合、x86ターゲット上の 2.23 より前のGNU Cライブラリ（別名glibcまたはlibc6）のsysdeps / i386 / ldbl2mpn.cにスタックベースのバッファオーバーフローがあります。これは、\ x00 \ x04 \ x00 \ x00 \ x00 \ x00 \ x00 \ x00 \ x00 \ x04の値をsprintfに渡す際に見られるように、非正規のビットパターンで注：2016年以降（2.23以降）のデフォルトでは、この問題はglibcに影響しません。これは、GCCビルトインの使用によるC99 math関数のインライン化に対して2015年に行われたコミットが原因です。言い換えれば、26649の参考資料のFix for glibc 2.33に言及されているにもかかわらず、2.23への記載は意図的なものです。
(CVE-2020-29573)

GNU Cライブラリ（別名glibcまたはlibc6）2.32以前のiconv関数は、ISO-2022-JP-3エンコーディングで無効な入力シーケンスを処理する場合、コードパスでアサーションに失敗して、プログラムを中止し、サービス拒否に至る可能性があります。（CVE-2021-3326）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

影響を受けるパッケージを更新してください。

プラグインの詳細

深刻度: High

ID: 164426

ファイル名: suse_SU-2022-2886-1.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

ファミリー: SuSE Local Security Checks

公開日: 2022/8/25

更新日: 2023/3/10

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 4.4

CVSS v2

リスクファクター: High

Base Score: 7.1

Temporal Score: 5.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:C

現状ベクトル: CVSS2#E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2019-25013

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 6.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

CVSS スコアのソース: CVE-2021-3326

脆弱性情報

CPE: p-cpe:/a:novell:suse_linux:glibc, p-cpe:/a:novell:suse_linux:glibc-32bit, p-cpe:/a:novell:suse_linux:glibc-devel, p-cpe:/a:novell:suse_linux:glibc-devel-32bit, p-cpe:/a:novell:suse_linux:glibc-html, p-cpe:/a:novell:suse_linux:glibc-i18ndata, p-cpe:/a:novell:suse_linux:glibc-info, p-cpe:/a:novell:suse_linux:glibc-locale, p-cpe:/a:novell:suse_linux:glibc-locale-32bit, p-cpe:/a:novell:suse_linux:glibc-profile, p-cpe:/a:novell:suse_linux:glibc-profile-32bit, p-cpe:/a:novell:suse_linux:nscd, cpe:/o:novell:suse_linux:12

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/8/24

脆弱性公開日: 2017/3/2

参照情報

CVE: CVE-2015-5180, CVE-2016-10228, CVE-2019-25013, CVE-2020-27618, CVE-2020-29562, CVE-2020-29573, CVE-2021-3326

SuSE: SUSE-SU-2022:2886-1