CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:rsyncの複数の脆弱性(CENTOS6:CLSA-2026:1776791634)

critical Nessus プラグイン ID 360648

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1776791634アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- rsync 3.1.2 および 3.1.3-development の xattrs.c の receive_xattr 関数が、xattr 名の末尾の「\0」文字をチェックしないため、リモートの攻撃者が、細工されたデータをデーモンに送信することで、サービス拒否(ヒープベースのバッファオーバーリードおよびアプリケーションクラッシュ)を引き起こしたり、詳細不明なその他の影響を与えたりする可能性があります。(CVE-2017-16548)

- rsync 3.1.2、および2017-12-03より前の3.1.3-developmentのデーモンは、daemon_filter_listデータ構造(receiver.cのrecv_files関数)のfnamecmpファイル名をチェックしません。また、xname follows strings(rsync.cのread_ndx_and_attrs関数)にあるパス名にもsanitize_paths保護メカニズムを適用しません。これにより、リモートの攻撃者が意図されたアクセス制限をバイパスする可能性があります。(CVE-2017-17434)

- 3.1.3 より前の rsync における rsyncd 内の options.c の parse_arguments 関数は、複数の
--protect-args の使用を妨げないので、リモート攻撃者が引数サニタイズ保護メカニズムをバイパスする可能性があります。(CVE-2018-5764)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。