CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:c-ares / c-ares-devel の複数の脆弱性 (CENTOS6:CLSA-2026:1793082403)

critical Nessus プラグイン ID 374132

Language:

概要

CentOS Linux ホストに 1 つ以上のセキュリティ更新プログラムが欠落しています。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1793082403アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 1.12.0 より前の c-ares 1.x の ares_create_query 関数のヒープベースのバッファオーバーフローにより、リモートの攻撃者が、エスケープされた末尾のドットを含むホスト名を介して、サービス拒否(領域外書き込み)を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2016-5180)

- c-ares パッケージに欠陥が見つかりました。ares_set_sortlist に、入力文字列の有効性に関するチェックがないため、任意の長さのスタックオーバーフローが発生する可能性があります。この問題により、サービス拒否または機密性と整合性への限定的な影響が発生する可能性があります。(CVE-2022-4904)

- c-ares は、非同期リゾルバーライブラリです。c-ares は、サービス拒否に対して脆弱です。ターゲットリゾルバーがクエリを送信する場合、攻撃者は長さが 0 の無効な形式の UDP パケットを偽造し、ターゲットリゾルバーに返します。ターゲットリゾルバーは、長さ 0 を接続の正常なシャットダウンと誤って解釈します。この問題には、バージョン 1.19.1でパッチが適用されています。(CVE-2023-32067)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。