Red Hat セキュリティアドバイザリ 2012:0305 から：

2 つのセキュリティの問題と 2 つのバグを修正する更新済みの boost パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

boost パッケージは、無料で査読済みのポータブルな C++ ソースライブラリを提供しています。 C++ 標準ライブラリとの相性がよいライブラリを重視したものになっています。

Boost の正規表現ライブラリが特定の無効な式を処理する方法で、無効なポインターデリファレンスの欠陥が見つかりました。攻撃者が、この Boost ライブラリを使用するアプリケーションに特別に細工された正規表現を処理させることができた場合、このアプリケーションをクラッシュしたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2008-0171)

Boost の正規表現ライブラリが特定の無効な式を処理する方法で、NULL ポインターデリファレンスの欠陥が見つかりました。攻撃者が Boost ライブラリを使用するアプリケーションに特別に細工された正規表現を処理させることができた場合、アプリケーションのクラッシュが引き起こされる可能性があります。(CVE-2008-0172)

Red Hat は、この問題を報告してくれた Will Drewry 氏に感謝の意を表します。

この更新は以下のバグも修正します：

* この更新が出る前は、マルチスレッドプログラム内など、いくつかの正規表現オブジェクトが同時に作成された場合に、正規表現オブジェクトの構築が失敗する可能性があります。この更新により、オブジェクト変数が共有メモリからスタックに移動されています。現在、構築機能はスレッドセーフです。（BZ#472384）

* この更新が出る前は、いくつかの Boost ライブラリのヘッダーファイルに、GNU Compiler Collection（GCC）4.4 が処理できないプリプロセッサディレクティブが含まれていました。この更新では、代わりに標準 C の同等コンストラクトを使用します。（BZ#567722）

boost の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

検出

Oracle Linux 5：boost（ELSA-2012-0305）

medium Nessus プラグイン ID 68476

変更ログが見つかりません