Amazon Linux 2:gfs2-utils(ALAS-2026-4004)
high Nessus プラグイン ID 371787
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされているgfs2-utilsのバージョンは、 3.1.10-6より前です。したがって、ALAS2-2026-4004 のアドバイザリに記載されている複数の脆弱性の影響を受けます。gfs2-utils にスタックオーバーフローの脆弱性が見つかりました。metawalk.cのハッシュテーブルトラバーサルコードは、信頼できないディスク上のdi_depthフィールドから指数関数的に派生したサイズのalloca()を境界検証なしで使用します。大きなdi_depth値を持つ細工されたGFS2ファイルシステムイメージは、fsck.gfs2、gfs2_edit、savemetaによって処理されるときにスタック枯渇とサービス拒否を引き起こします。(CVE-2026-71219)
gfs2-utils にスタックの領域外書き込みの脆弱性が見つかりました。gfs2_editでは、オンディスクのinodeメタデータのdi_heightフィールドが境界チェックなしで配列インデックスとして使用され、細工されたGFS2ファイルシステムイメージを処理するときに任意のコード実行につながる可能性のあるスタックバッファオーバーフローを引き起こします。(CVE-2026-71220)
gfs2-utils にスタックの領域外書き込みの脆弱性が見つかりました。savemetaでは、オンディスクinodeメタデータの高さの値が境界チェックなしでループバインドとして使用され、細工されたGFS2ファイルシステムイメージを処理するときに任意のコードの実行につながる可能性のあるスタックバッファオーバーフローを引き起こします。(CVE-2026-71221)
gfs2-utils にヒープの領域外読み取りの脆弱性が見つかりました。オンディスク拡張属性メタデータの ea_num_ptrs フィールドが境界検証なしで消費され、ヒープバッファオーバーリードが発生して、機密メモリコンテンツが漏洩したり、細工された GFS2 ファイルシステムイメージを処理するときにクラッシュが発生する可能性があります。
(CVE-2026-71222)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update gfs2-utils」または「yum update --advisory ALAS2-2026-4004」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2-2026-4004.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-71219.html
https://explore.alas.aws.amazon.com/CVE-2026-71220.html
プラグインの詳細
深刻度: High
ID: 371787
ファイル名: al2_ALAS-2026-4004.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/24
更新日: 2026/10/24
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.52
CVSS v2
リスクファクター: Medium
基本値: 6.2
現状値: 4.6
ベクトル: CVSS2#AV:L/AC:H/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-71220
CVSS v3
リスクファクター: High
基本値: 7
現状値: 6.1
ベクトル: CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:gfs2-utils-debuginfo, p-cpe:/a:amazon:linux:gfs2-utils
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/9/3
参照情報
CVE: CVE-2026-71219, CVE-2026-71220, CVE-2026-71221, CVE-2026-71222