Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - afsOpenAFS サーバーからの fpos 2G-4G での読み取りの破損を修正します。AFS-3 には 2 つのデータフェッチ RPC バリアント、FS.FetchData と FS.FetchData64 があり、Linux の afs クライアントは非 YFS サーバーと通信する際にこれらの間で切り替えることができます。読み取りサイズ、ファイル位置、またはこの 2 つの合計で、64 ビット値の上位 32 ビットが設定されます。しかし、FS.FetchData のファイル位置および長さフィールドは *符号付き * 32 ビット値であるため、これは問題です。これは、ファイルサーバーから取得された機能ビットを破棄するのではなく、キャプチャして、VICED_CAPABILITY_64BITFILESフラグを取り出すことでこれを修正します。これはその後、upper_32_bits() を使用してパラメーター値を切り替えるのではなく、FS.FetchData または FS.FetchData64 を使用するかどうかを決定するために使用できます。この機能フラグは、ファイルの最大サイズを制限するためにも使用される可能性がありますが、そのためにはすべてのサーバーをチェックする必要があります。注意 の問題は FS.StoreData には存在しません - が使用する
    *符号なし* 32ビット値。YFS.FetchData64 op が符号なし 64 ビット値を使用するため、これは auristor サーバーの問題でもありません。これは、git repo を OpenAFS クライアントから OpenAFS サーバーに複製し、Linux afs クライアントから git status を行うことでテストできます [1]。クローンに 2G-4G 範囲のパックファイルがある場合、git ステータスは次のようなエラーを表示します エラーpackfile .git/objects/pack/pack-5e813c51d12b6847bbc0fcd97c2bca66da50079c.pack はインデックスエラー packfile .git/objects/ と一致しませんpack/pack-5e813c51d12b6847bbc0fcd97c2bca66da50079c.pack がインデックスと一致しません。これは、サーバーの FileLog で確認できます。Sun Aug 29 19:31:39 2021 SRXAFS_FetchData, Fid = 2303380852.491776.3263114, Host 192.168.11.201:7001, Id 1001 Sun 8 月 29 日 19:31:39 2021 CheckRights: len=0, for host=192.168.11.201:7001 2021 年 8 月 29 日日曜日 19:31:39 2021 FetchData_RXStyle: Pos 18446744071815340032, Len 3154 8 月 29 日日曜日 19:31:39 2021 FetchData_RXStyle: fileサイズ 2400758866 ... 2021 年 8 月 29 日日曜日 19:31:40 SRXAFS_FetchData が 5 を返します 18446744071815340032 のファイル位置に注意してください。これは、要求されたファイル位置符号拡張です。CVE-2021-47366

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2021-47366

medium Nessus プラグイン ID 224453

バージョン 1.6