2 つのセキュリティ問題を修正する更新済み glibc パッケージが、 Red Hat Enterprise Linux 5、6、7 で使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

glibc パッケージには、システムの複数のプログラムで使用される標準の C ライブラリが含まれています。これらのパッケージには、標準の C および標準の算術ライブラリが含まれています。この 2 つのライブラリがないと、Linux システムは適切に機能できません。

glibc の internal __gconv_translit_find() 関数に off-by-one ヒープベースバッファオーバーフロー欠陥が見つかりました。特別に細工された引数で、アプリケーションによって iconv_open() 関数を呼び出すことができる攻撃者が、この欠陥を利用して、そのアプリケーションの権限で、任意のコードを実行する可能性があります。（CVE-2014-5119）

glibc が、ロケールファイルをロードする場合の方法に、ディレクトリトラバーサルの欠陥が見つかりました。アプリケーションによって、特別に細工されたロケール名の値（LC_* 環境変数に指定されている値など）を使用できる攻撃者が、この欠陥を利用して、そのアプリケーションの権限で、任意のコードを実行する可能性があります。（CVE-2014-0475）

Red Hat は、CVE-2014-0475 を報告してくれた Stephane Chazelas 氏に感謝の意を表します。

glibc のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。これには、これらの問題を解決するための、バックポートされたパッチが含まれています。

検出

CentOS 5/6/7：glibc（CESA-2014:1110）

high Nessus プラグイン ID 77439

変更ログが見つかりません