Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の wget

medium Nessus プラグイン ID 72421

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

ダウンロードしたファイルを保存する際に、 wget はサーバーが指定したファイル名を使用することが発見されました。このため、wget に想定外の別の名前でファイルを作成させる場合があり、サーバーがクライアントで任意のコードを実行できる可能性があります。（CVE-2010-2252）

注：この更新により、wget は、ダウンロードしたファイル名として、元の URL の最後のコンポーネントを常に使用します。サーバーが指定した名前、またはファイル作成時にリダイレクトされた URL の最後のコンポーネントを使用する以前の動作は、「--trust-server-names」コマンドラインオプションを使用すること、または wget スタートアップファイルに「trust_server_names=on」を設定することにより、再度有効にすることができます。

この更新は以下のバグも修正します：

- この更新が出る前は、証明書に指定済みの代替名（subjectAltName）では、wget パッケージは HTTPS SSL 証明書を有効として認識しませんでした。
その結果、wget コマンドを実行すると、証明書エラーで失敗していました。この更新では、wget がこのような証明書を有効と認識するように修正しています。