Amazon Linux 2023 : glib2、glib2-devel、glib2-static (ALAS2023-2026-1942)
critical Nessus プラグイン ID 328478
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-1942 のアドバイザリに記載されている複数の脆弱性の影響を受けます。GLib で欠陥が見つかりました。境界チェックが >= ではなく > を使用するため、アライメントパディングチェックを行うときに、glib/gvariant-serialiser.c ファイルの gvs_tuple_is_normal 関数で off-by-one エラーが発生し、わずか 1 バイトの領域外読み取りが発生します。この問題により、領域外読み取りがページの境界を越えるときに、1バイトのマイナーな情報漏えいとサービス拒否が発生する可能性があります。
(CVE-2026-58010)
GLib で欠陥が見つかりました。g_date_time_add_full 関数によって生成された無効な GDateTime オブジェクトが処理されるとき、glib/gdatetime.c ファイルの g_date_time_get_ymd 関数で発生する可能性があるのは、わずか 2 バイトです。この欠陥により、日付出力が破損し、サービス拒否につながる論理エラーが発生する可能性があります。(CVE-2026-58011)
GLib で欠陥が見つかりました。「G_REGEX_RAW」コンパイルフラグおよび大文字小文字変更置換エスケープを使用すると、string_append関数は、文字列が生のバイトとして扱われる場合でも、有効なUTF-8入力を想定するUTF-8関数を使用して一致したサブ文字列を処理するため、g_regex_replace関数でバッファオーバーリードが発生する可能性があります。この脆弱性により、バッファオーバーリードがページの境界を越えるときに、1〜5バイトの軽微な情報漏えいとサービス拒否を引き起こす可能性があります。(CVE-2026-58012)
GLib で欠陥が見つかりました。1より長いカスタムの行終端子が設定されている場合、giochannel.cファイルのg_io_channel_read_line_backend()でバッファオーバーリードが発生し、memcmpがGStringバッファを超えて読み取る可能性があります。この脆弱性により、バッファオーバーリードがページの境界を越えるときに、7バイトの軽微な情報漏えいまたはサービス拒否が引き起こされる可能性があります。(CVE-2026-58013)
GLib で欠陥が見つかりました。空の値を持つキーファイルを読み込むとき、gkeyfile.cファイルのg_key_file_get_locale_string_list関数でoff-by-oneエラーが発生する可能性があります。この欠陥は、1バイトの領域外アクセス、または領域外アクセスがページの境界を越えるときにサービス拒否を引き起こす可能性があります。
(CVE-2026-58014)
GLib で欠陥が見つかりました。DBUS_COOKIE_SHA1 SASL 認証メカニズムの D-Bus クライアント側の実装は、サーバーから受信した cookie_context パラメーターを検証しません。悪意のあるD-Busサーバーがパストラバーサルシーケンスを含むcookie_context供給し、生成されたハッシュに対して推測されたファイルの内容を検証することで、クライアントに任意のファイルを読み込ませたり、秘密データを盗み出させたりする可能性があります。
(CVE-2026-58015)
GLib で欠陥が見つかりました。無効な形式のD-BusイントロスペクションXMLを処理するとき、特に<method>、<signal>、<property>、<arg>などの他の要素内にネストされた<node>要素を処理するときに、gio/gdbusintrospection.cファイルのg_dbus_node_info_new_for_xml()に状態の取り違えの問題があります。この問題により、符号なし整数のオーバーフローが発生し、領域外読み取りが引き起こされ、サービス拒否が発生する可能性があります。
(CVE-2026-58016)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update glib2 --releasever 2023.12.20260720」または「dnf update --advisory ALAS2023-2026-1942 --releasever 2023.12.20260720」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1942.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-58010.html
https://explore.alas.aws.amazon.com/CVE-2026-58011.html
https://explore.alas.aws.amazon.com/CVE-2026-58012.html
https://explore.alas.aws.amazon.com/CVE-2026-58013.html
https://explore.alas.aws.amazon.com/CVE-2026-58014.html
プラグインの詳細
深刻度: Critical
ID: 328478
ファイル名: al2023_ALAS2023-2026-1942.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/7/20
更新日: 2026/7/20
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.3
パーセンタイル: 53.65
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:C
CVSS スコアのソース: CVE-2026-58016
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 8.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:glib2-debuginfo, p-cpe:/a:amazon:linux:glib2-debugsource, p-cpe:/a:amazon:linux:glib2-devel-debuginfo, p-cpe:/a:amazon:linux:glib2-devel, p-cpe:/a:amazon:linux:glib2-doc, p-cpe:/a:amazon:linux:glib2-static, p-cpe:/a:amazon:linux:glib2-tests-debuginfo, p-cpe:/a:amazon:linux:glib2-tests, p-cpe:/a:amazon:linux:glib2
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/7/20
脆弱性公開日: 2026/6/30
参照情報
CVE: CVE-2026-58010, CVE-2026-58011, CVE-2026-58012, CVE-2026-58013, CVE-2026-58014, CVE-2026-58015, CVE-2026-58016
IAVA: 2026-A-0684