リモートの MiracleLinux 4 ホストには、AXSA:2013-204:01 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    abrt abrt はユーザーがアプリケーションの欠陥を検出し、それを修正するためにメンテナーが必要とするすべての情報をバグレポートに作成できるようにするツールです。プラグインシステムを使用して機能を拡張しています。
     libreportBugzilla、ftp、trac などの異なるバグターゲットに対して、アプリケーションのさまざまな問題を報告するための API を提供するライブラリ
     btparserBtparser はバックトレースパーサーおよびアナライザーであり、GNU Project Debugger によって作成されたバックトレースで動作します。C 構造体のツリーへのバックトレースのあるテキストファイルを解析できるため、 はバックトレースのスレッドとフレームを分析して操作できます。
    Btparser にはいくつかのバックトレース操作および抽出ルーチンも含まれています
     プログラムがクラッシュした可能性が高いクラッシュ時間バックトレースでフレームを見つけますそのフレームで説明されている関数にバグがある確率が、バックトレースの重複ハッシュを生成でき、これにより、2 つのクラッシュ時間の発見に役立ちますバックトレースが重複しており、コードの同じ欠陥によってトリガーされるため、バックトレースの品質を評価できます。これは、関数名が判明している場合と不明な場合のフレーム数によって異なります関数名の欠如は、デバッグシンボルがないために発生していますこのリリースで修正されたセキュリティ問題:
     CVE-2012-5659 plugins/ の信頼できない検索パスの脆弱性abrt-action-install-debuginfo-to-abrt-cache.c 自動バグ報告ツールABRT 2.0.9 およびそれ以前のバージョンでは、ローカルユーザーが、悪意のある Python モジュールを参照するように PYTHONPATH 環境変数を変更することで、任意の Python モジュールをロードおよび実行することが可能です。
     CVE-2012-5660 Automatic Bug Reporting ToolABRT 2.0.9 およびそれ以前の abrt-action-install-debuginfo により、ローカルユーザーが任意のファイルに誰でも書き込める権限を設定できます。また、クラッシュに関する情報を保存するために使用するディレクトリへのシンボリックリンク攻撃を介して、権限を取得する可能性があります。 。
    修正されたバグ：
    追加の multilib 修正を再構築します。post-create が実行される間にデーモンがスタックするソケット接続に応答しないを回避しますクラッシュの無限ループを防止しますシンボリックリンクに従いません。abrt デーモンの潜在的なデッドロックを修正しました relro フラグを修正しました未定義の脆弱性を修正しましたシンボルの翻訳が更新され、期待強いアプレットアイコンが修正されました abrt-install-ccpp-hook%e presense のチェックを修正します abrt-harvest-vmcoreCopyVMcore 構成オプションを追加し、vmcores をコピーします。
     brewtap によって発見された問題を修正しました dbus-send がインストールされていない場合に実行を試行しません [abrt] abrt-addon-ccpp-2.0.7-4.fc17abrt-action-analyze-core:106:extract_info_from_core:IndexError: リストインデックス範囲外 abrt-addon-python送信されるダンプを誰も収集しない場合、プロセスが永久にハングする可能性がありますレポート作成は以下で失敗する可能性があります abrt-bodhiコマンドが見つかりませんでした汚染されたカーネルのチェックが厳密になりました rhbz#814594 - abrt-ccpp ステータスが no を返しましたステータスメッセージ abrt の欠落している依存関係 libreport-plugin-bugzilla abrt-addon-python送信するダンプを収集しない場合、プロセスは永久にハングする可能性があります abrt-upload ディレクトリから新しい問題を削除しません libreport リビルドの原因となり、失敗した rpmdiff - 変更なし同じ場合には、シンボリックリンクに従う必要がありますが、シンボリックリンクに従わない場合、relro フラグを修正、混乱の警告メッセージを削除、バージョン化された要件を追加、rpmdiff 構成ファイルから reporter-bugzilla を削除、誤って再追加、翻訳を修正、rewtap 警告を停止、rpmdiff 警告が少ない表示するログのユーザー認証情報は、bz レポートのデフォルトのテンプレートを使用します。bugzilla でユーザーを CC に追加するのを修正します。問題を削除する際に、デーモン接続について警告しません。古い問題をクリーンする際に、非問題 dirs を無視します。abrt バグレポートで smolt 情報を表示しないようにカーネルを選択します。
     デフォルトでオンの ABRT mailx プラグインが、常に報告された pkg-config としてラベル付けされるクラッシュを引き起こします --cflags libreport inuds -fPIC Coverity がメモリ漏洩とおそらくその他の問題を漏洩しましたクラッシュ dir が存在しない時に report-gtk によって GLib 警告が発生しました「report」ツールが現在の作業ディレクトリを必要としますへのクラッシュ dir インストール中に Partner-bugzilla に対して例外を報告する際の重複 anaconda バグの検索が失敗します。定義されていない非脆弱シンボル ABRT にダイアログ btparser に間違った URL があります。新しい Upstream リリース

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 4btparser-0.17-1.AXS4、abrt-2.0.8-15.0.1.AXS4、libreport-2.0.9-15.0.2.AXS4AXSA:2013-204:01

critical Nessus プラグイン ID 289969

バージョン 1.2