CentOS Linux 8.5 [TuxCare] セキュリティ更新プログラム:gzip(CENTOS8.5:CLSA-2026:1783416812)

medium Nessus プラグイン ID 351644

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8.5 ホストには、TuxCare CENTOS8.5:CLSA-2026:1783416812アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- GNU gzip の LZH 展開ロジックにグローバルバッファオーバーフローの脆弱性があります。これは、単一実行内の異なる展開形式間の共有グローバル状態の不適切な再利用によって引き起こされます。GNU gzip は、 LZ77、LZW および LZH 展開ルーチン間で共有され、同じ呼び出しで処理されたファイル間で再初期化されないグローバル配列を維持します。特別に細工された LZW ファイルを展開し、続いて特別に細工された LZH ファイルを単一の gzip -d コマンドで展開することで、攻撃者は共有されたグローバル状態をポイズニングし、その後 LZH デコーダーで領域外読み取りを発生させる可能性があります。LZH 展開ロジックは、共有配列に残された古い値を追跡します。これにより、割り当てられたグローバルバッファの終端を超えて読み取りが発生します。この問題はコミット63dbf6b3b9e6e781df1a6a64e609b10e23969681およびe7378c2d421be6a286922374425680bbe9ad8b7dで修正されました。(CVE-2026-41992)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。