Red Hat セキュリティアドバイザリ 2012:0841 から：

２つのセキュリティの問題およびいくつかのバグを修正する、更新済み abrt、libreport、btparser、および python-meh パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

ABRT（自動バグレポートツール）は、ユーザーがアプリケーションの不具合を検出して、メンテナンス担当者がそれを修正するときに必要な情報すべてを記録するバグレポートの作成をサポートするツールです。libreport を機能的に拡張するプラグインシステムを使用して、アプリケーションの異なる問題を、Bugzilla、FTP、Trac などのさまざまなバグターゲットにレポートするための API を提供します。

btparser ユーティリティは、GNU Project Debugger によって生成されるバックトレースとともに作動するバックトレースパーサー・アナライザーライブラリです。C 構造のツリーのバックトレースをもつテキストファイルを解析し、バックトレースのスレッドとフレームを解析して処理することが可能です。

python-meh パッケージは、例外を処理する python ライブラリを提供します。

ABRT のC ハンドラープラグインを有効にし（abrt-addon-ccpp パッケージをインストールし、abrt-ccpp サービスを実行中）、sysctl fs.suid_dumpable オプションを「2」（デフォルトでは「0」）に設定した場合、設定ユーザー ID（setuid）プログラムのコアダンプは、安全でないグループ ID 許可で作成されました。これにより、ローカルの、権限のないユーザーは、他の方法ではアクセスできない setuid プロセスのコアダンプから機密情報を入手する可能性があります。(CVE-2012-1106)

ABRT によって、ユーザーは、送信前に収集した機密データに関するクラッシュ情報を容易に検索できませんでした。これにより、ユーザーは、送信されたクラッシュレポートを介して機密情報を意図せずに漏洩させる可能性があります。この更新では、収集したデータすべてを検索する機能を追加しています。この修正は、レポートが Red Hat カスタマーサポートに送られるデフォルト設定には適用されませんのでご注意ください。Red Hat Bugzilla に情報を送るユーザーに対してのみ有効となります。(CVE-2011-4088)

Red Hat は、CVE-2011-4088 を報告してくれた Jan Iven 氏に感謝の意を表します。

これらの更新パッケージには、複数のバグ修正が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。当該変更の最も重要な情報については、 Red Hat Enterprise Linux 6.3 テクニカルノートを参照してください。

abrt、libreport、btparser および python-meh のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。これにより、この問題は修正されます。

検出

Oracle Linux 6：abrt/btparser/libreport/python-meh（ELSA-2012-0841）

high Nessus プラグイン ID 68553

変更ログが見つかりません