Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の qt
high Nessus プラグイン ID 61347
Language:
概要
リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。説明
Qt は、X Window System 用の GUI（グラフィカルユーザーインターフェイス）アプリケーションの書込みと保守を簡素化するソフトウェアツールキットです。HarfBuzz は OpenType テキストシェーピングエンジンです。qt の harfbuss モジュールでバッファオーバーフローの欠陥が見つかりました。ユーザーが Qt にリンクされたアプリケーションで、特別に細工されたフォントファイルを読み込んだ場合、これにより、アプリケーションがクラッシュすることや、そのアプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2011-3922）
Qt が IP アドレスワイルドカードで X.509 証明書を処理する方法で欠陥が見つかりました。IP ワイルドカードを含む共通名で証明書を取得できる攻撃者は、この欠陥を悪用して、Qt
を使用するクライアントアプリケーションの SSL サーバーになりすますことができます。この更新ではさらに、ワイルドカード文字を複数のホスト名コンポーネントに一致させないようにすることで、ホスト名ワイルドカード証明書の処理をより厳密に行うものです。（CVE-2010-5076）
この更新は以下のバグも修正します：
- Phonon API によって、メディアオブジェクトの早期解放が可能になりました。その結果、GStreamer は、リリースされたメディアオブジェクトへのアクセスに失敗すると、突然終了する可能性があります。この更新では、下層にある Phonon API コードを更新し、この問題が発生することはありません。
- 以前、Qt は、「Unrecognized OpenGL version（正当に認められていない OpenGL バージョン）」エラーを出力して、OpenGL-version-1 互換性モードに戻す可能性がありました。この原因は、システムが、使用中の Qt バージョンよりも後にリリースされた OpenGL のバージョンを使用していた場合、システムにインストールした OpenGL のバージョンを認識できなかったためです。この更新では、OpenGL バージョンの認識のためのコードを Qt に追加し、 OpenGL バージョンが不明な場合は、Qt は、 OpenGL の最新の既知のバージョンが利用可能であると想定します。
- 以前は、Qt には、Qt がシステムの ca-bundle.crt ファイルを開けれなかった場合に使用していた、信頼できる CA（認証局）証明書のコンパイルリストが含まれていました。この更新により、Qt には、コンパイルした CA 証明書は含まれず、システムバンドルのみを使用します。
Qt のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 Qt ライブラリにリンクされている全ての実行中のアプリケーションを再起動する必要があります。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 61347
ファイル名: sl_20120620_qt_on_SL6_x.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2012/8/1
更新日: 2021/1/14
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.3
CVSS v2
リスクファクター: High
基本値: 7.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:fermilab:scientific_linux:phonon-backend-gstreamer, p-cpe:/a:fermilab:scientific_linux:qt, p-cpe:/a:fermilab:scientific_linux:qt-debuginfo, p-cpe:/a:fermilab:scientific_linux:qt-demos, p-cpe:/a:fermilab:scientific_linux:qt-devel, p-cpe:/a:fermilab:scientific_linux:qt-doc, p-cpe:/a:fermilab:scientific_linux:qt-examples, p-cpe:/a:fermilab:scientific_linux:qt-mysql, p-cpe:/a:fermilab:scientific_linux:qt-odbc, p-cpe:/a:fermilab:scientific_linux:qt-postgresql, p-cpe:/a:fermilab:scientific_linux:qt-sqlite, p-cpe:/a:fermilab:scientific_linux:qt-x11, x-cpe:/o:fermilab:scientific_linux
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
パッチ公開日: 2012/6/20
脆弱性公開日: 2012/1/7
参照情報
CVE: CVE-2010-5076, CVE-2011-3922