SuSE 10 セキュリティ更新：FUSE（ZYPP パッチ番号 7362）

medium Nessus プラグイン ID 53256

Language:

概要

リモート SuSE 10 ホストにセキュリティ関連のパッチがありません。

説明

fuse および util-linux で、以下のセキュリティ問題が修正されました：

- FUSE では、FUSE ファイルシステムのマウントポイントの親ディレクトリに対するシンボリックリンク攻撃で、ローカルの攻撃者が任意のパス名で mtab エントリを作成し、その後ファイルシステムをアンマウントできる可能性がありました。(CVE-2010-3879)

- シンボリックリンクの評価を含んでいるディレクトリのマウントはローカルの攻撃者がシステム内のどこにでもファイルシステムをマウントできるので避けてください。
(CVE-2011-0541)

- mtab ファイルに書かれているマウントポイントでのシンボリックリンク攻撃を避けます。(CVE-2011-0543)

util-linux では、この他に次の 2 つのバグが修正されました：

- RPC タイムアウトの nfs マウントの再試行を修正しました

- nfs で使用するプロトコルとは個別に rpc.mount で使用するインターネットプロトコルの個別コントロールが可能になります。

新機能が実装されました：- mount に --fake および
--no-canonicalize オプションが用意されました。これは、シンボリックリンクのセキュリティ修正に必要です。
これらはメインラインからバックポートされました。