Debian DSA-2873-1：file - いくつかの脆弱性

medium Nessus プラグイン ID 72952

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ファイルタイプ分類化ツールである file でいくつかの脆弱性が見つかりました。

ファイルユーティリティが、Windows で使用される実行可能ファイル形式である Portable Executable（PE）フォーマットファイルのタイプを確定する方法で、欠陥があることを Aaron Reffett 氏が報告しました。無効なオフセット情報を含む、欠陥があるか、意図的に用意された　PE 実行可能ファイルを処理する際に、file_strncmp ルーチンが領域外のメモリにアクセスし、file をクラッシュします。Common Vulnerabilities and Exposures プロジェクト ID CVE-2014-2270 が、この欠陥を特定するために割り当てられています。

Mike Frysinger 氏は、AWK スクリプトを検出する file のルールが file の速度を著しく低下させることを報告しました。AWK ファイルを検出する正規表現が、** 演算子を含んでおり、これが悪用されると正規表現エンジンで過剰なバックトラッキングが発生する可能性があります。

ソリューション

ファイルパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 5.04-5+squeeze4 で修正されています。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 5.11-2+deb7u2 で修正されています。