リモートの Ubuntu 16.04ESM ホストには、USN-5768-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - GNU C ライブラリ (別名 glibc または libc6) 2.31 以前の iconv プログラムは、-c オプションとともに宛先エンコーディング (TRANSLATE または IGNORE) で複数のサフィックスを付けて起動すると、無効なマルチバイトシーケンスの処理中に無限ループに陥り、サービス拒否が発生します。(CVE-2016-10228)

  - バージョン 2.26 より前の GNU C ライブラリ (別名 glibc または libc6) の DNS スタブリゾルバーは、EDNS サポートが有効な場合、ネームサーバーから大きな UDP 応答を要求し、IP フラグメンテーションによるオフパス DNS なりすまし攻撃を単純化する可能性があります。(CVE-2017-12132)

  - 2.32までのGNU Cライブラリ（別名glibcまたはlibc6）のiconv機能において、EUC-KRエンコーディングで無効なマルチバイトの入力シーケンスが処理される場合、バッファオーバーリードが発生する可能性があります。（CVE-2019-25013）

  - GNU C ライブラリ (別名 glibc または libc6) 2.32 以前の iconv 関数は、IBM1364、IBM1371、IBM1388、IBM1390、IBM1399 エンコーディングで無効なマルチバイト入力シーケンスを処理するとき、アプリケーションの無限ループにつながり、サービス拒否を引き起こす可能性があります。これは CVE-2016-10228 とは別の脆弱性です。(CVE-2020-27618)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 16.04 ESM: GNU C ライブラリの脆弱性 (USN-5768-1)

medium Nessus プラグイン ID 168533

バージョン 1.3