したがって、ALAS2023-2025-988 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    GNU C ライブラリ (別名 glibc) 2.34 の iconvdata/iso-2022-jp-3.c では、リモートの攻撃者が内部状態リセットを伴う細工された ISO-2022-JP-3 データを介して偽造の「\0」文字を放出するように iconv() を強制する可能性があります。これは、特定の iconv() を使用する場合に、データの整合性に影響を与える可能性があります。注意: ベンダーは、このバグはユーザー入力から呼び出すことはできず、iconv を NULL inbuf で呼び出す必要があると述べています。これを意図せずに行うには、別のアプリケーションバグが必要です。したがって、このバグはセキュリティに影響を与えません。
    (CVE-2021-43396)

    glibc: netgroup キャッシュのスタックベースのバッファオーバーフロー (CVE-2024-33599)

    glibc: netgroup キャッシュ挿入失敗後の NULL ポインターデリファレンス (CVE-2024-33600)

    glibc: netgroup キャッシュがメモリ割り当ての失敗時にデーモンを終了させる可能性があります (CVE-2024-33601)

    glibc: netgroup キャッシュは、NSS コールバックがバッファ内の文字列を使用することを想定しています (CVE-2024-33602)

    GNU C ライブラリバージョン 2.13 から 2.40 の assert() 関数が失敗したとき、アサーション失敗メッセージの文字列とサイズ情報に対して十分なスペースを割り当てません。これにより、メッセージ文字列のサイズをページサイズに合わせた場合、バッファオーバーフローが発生する可能性があります。(CVE-2025-0395)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : compat-libpthread-nonshared, glibc、glibc-all-langpacks (ALAS2023-2025-988)

high Nessus プラグイン ID 237673

バージョン 1.1