Red Hat セキュリティアドバイザリ 2012:0880 から：

2つのセキュリティ問題および3つのバグを修正する更新済みの qt パッケージは Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Qt は、X Window System 用の GUI（グラフィカルユーザーインターフェイス）アプリケーションの書込みと保守を簡素化するソフトウェアツールキットです。HarfBuzz は OpenType テキストシェーピングエンジンです。

qt の harfbuss モジュールでバッファオーバーフローの欠陥が見つかりました。ユーザーが Qt にリンクされたアプリケーションで、特別に細工されたフォントファイルを読み込んだ場合、これにより、アプリケーションがクラッシュすることや、そのアプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。(CVE-2011-3922)

Qt が IP アドレスワイルドカードで X.509 証明書を処理する方法で欠陥が見つかりました。IP ワイルドカードを含む共通名で証明書を取得できる攻撃者は、この欠陥を悪用して、Qt 
を使用するクライアントアプリケーションの SSL サーバーになりすますことができます。この更新ではさらに、ワイルドカード文字を複数のホスト名コンポーネントに一致させないようにすることで、ホスト名ワイルドカード証明書の処理をより厳密に行うものです。(CVE-2010-5076)

この更新は以下のバグも修正します：

* Phonon API によって、メディアオブジェクトの早期解放が可能になりました。
その結果、GStreamer は、リリースされたメディアオブジェクトへのアクセスに失敗すると、突然終了する可能性があります。この更新では、下層にある Phonon API コードを更新し、この問題が発生することはありません。（BZ#694684）

* 以前、Qt は、「正当に認められていない OpenGL バージョン」エラーを出力して、OpenGL-version-1 互換性モードに戻す可能性があります。この原因は、システムが、使用中の Qt バージョンよりも後にリリースされた OpenGL のバージョンを使用していた場合、システムにインストールした OpenGL のバージョンを認識できなかったためです。この更新では、OpenGL バージョンの認識のためのコードを Qt に追加し、 OpenGL バージョンが不明な場合は、Qt は、 OpenGL の最新の既知のバージョンが利用可能であると想定します。（BZ#757793）

* 以前は、Qt には、Qt がシステムの ca-bundle.crt ファイルを開けれなかった場合に使用していた、信頼できる CA（認証局）証明書のコンパイルリストが含まれていました。この更新により、Qt には、コンパイルした CA 証明書は含まれず、システムバンドルのみを使用します。
（BZ#734444）

Qt のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 Qt ライブラリにリンクされている全ての実行中のアプリケーションを再起動する必要があります。

検出

Oracle Linux 6：qt（ELSA-2012-0880）

high Nessus プラグイン ID 68557

変更ログが見つかりません