Red Hat セキュリティアドバイザリ 2011:0407 から：

複数のセキュリティの問題を修正する更新済みの logrotate パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

logrotate ユーティリティでは、ログファイルの自動ローテーション、圧縮、削除、メール送付が可能になり、複数のログファイルの管理が簡素化されます。

logrotate が shred ディレクティブを取り扱う方法で、シェルコマンドインジェクションの欠陥が見つかりました。特別に細工されたログファイルにより、 logrotate を実行しているユーザー（デフォルトでは root）の権限で任意のコマンドを logrotate で実行される可能性があります。注：shred ディレクティブは、デフォルトでは有効化されていません。(CVE-2011-1154)

新しいログファイルを作成するときに logrotate が権限を付与する方法で、競合状態の欠陥が見つかりました。特定の構成で、ローカルの攻撃者がこの欠陥を利用し、 logrotate が最終的な権限を付与する前に新しいログファイルを開いて、機密情報を漏洩させることがあります。(CVE-2011-1098)

logrotate に入力サニタイズの欠陥が見つかりました。ファイル名が特別に細工されたログファイルによって、以後そのファイルを処理しようとすると logrotate を中止させることが可能でした。(CVE-2011-1155)

logrotate の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。

検出

Oracle Linux 6：logrotate（ELSA-2011-0407）

medium Nessus プラグイン ID 68243

変更ログが見つかりません