CentOS 7：glibc （CESA-2015:0327）

medium Nessus プラグイン ID 81889

言語:

概要

リモート CentOS ホストに１つ以上のセキュリティ更新がありません。

説明

2 つのセキュリティ問題と複数のバグを修正する更新済み glibc パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

glibc パッケージは、システムの複数プログラムで使用される標準 C ライブラリ（libc）、POSIX スレッドライブラリ（libpthread）、標準数学ライブラリ、（libm）、ネームサービスキャッシュデーモン（nscd）を提供します。これらのライブラリがないと、Linux システムは正常に機能しません。

glibc の iconv() 関数が、エンコードされた特定のデータを UTF-8 に変換する方法に、境界外の読み取りの欠陥が見つかりました。特別に細工された引数でアプリケーションに iconv() 関数を呼び出させることができる攻撃者が、この欠陥を利用して、アプリケーションをクラッシュさせる可能性があります。
(CVE-2014-6040)

ネームサービススイッチ（NSS）のファイルバックエンドが、データベース全体の反復処理を、キーベースの検索 API 呼び出しから隔離しなかったことが見つかりました。データベース上で反復処理の実行中に、データベース上の検索を実行するアプリケーションが無限ループに入り、サービス拒否を引き起こす可能性があります。(CVE-2014-8121)

この更新は以下のバグも修正します：

* バッファ拡張および再配置の問題により、長いネットグループエントリをを処理する際に、セグメンテーション違反によって nscd デーモンが予期せず終了しました。この更新により、長いネットグループエントリの処理が修正され、上記のシナリオで nscd がクラッシュすることはありません。（BZ#1138520）

* 追加モードで開かれているファイルが ftruncate() 関数で切り捨てられた場合、その後の ftell() 呼び出しがファイルオフセットを不適切に変更する可能性があります。この更新により、ftell() がアペンドモードであり、ストリームのバッファが空でない場合のみ、ftell() がストリームのステートを変更することを保証します。（BZ#1156331）

* C ライブラリヘッダーの不具合により、古いコンパイラを伴うビルドは、古い互換性 C++ 標準ライブラリの btowc() 関数に対して不適切なコードを生成しました。互換性 C++ 標準ライブラリの btowc() を呼び出すアプリケーションが無反応になりました。この更新により、 C ライブラリヘッダーが修正され、Red Hat Enterprise Linux に付属している互換性 C++ 標準ライブラリは再構築されています。互換性 C++ 標準ライブラリに依存するアプリケーションが、 btowc() を呼び出す際にハングすることはありません。（BZ#1120490）

* 以前、ネットグループを使用し、nscd デーモンがネットグループの情報をキャッシュするように設定されている場合、sudo ユーティリティは有効なユーザーへのアクセスを拒否していました。nscd のバグは修正され、sudo は現在ネットグループで予想通り稼働しています。（BZ#1080766）

glibc のユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題を修正することが推奨されます。

ソリューション

影響を受ける glibc パッケージを更新してください。

関連情報

http://www.nessus.org/u?3ee84a05

プラグインの詳細

深刻度: Medium

ID: 81889

ファイル名: centos_RHSA-2015-0327.nasl

バージョン: 1.10

タイプ: local

エージェント: unix

公開日: 2015/3/18

更新日: 2021/1/4

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure

リスク情報

VPR

リスクファクター: Medium

スコア: 4.4

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 3.7

ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:P

現状ベクトル: E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2014-6040

脆弱性情報

CPE: p-cpe:/a:centos:centos:glibc, p-cpe:/a:centos:centos:glibc-common, p-cpe:/a:centos:centos:glibc-devel, p-cpe:/a:centos:centos:glibc-headers, p-cpe:/a:centos:centos:glibc-static, p-cpe:/a:centos:centos:glibc-utils, p-cpe:/a:centos:centos:nscd, cpe:/o:centos:centos:7

必要な KB アイテム: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/3/17

脆弱性公開日: 2014/12/5

参照情報

CVE: CVE-2014-6040, CVE-2014-8121

BID: 73038

RHSA: 2015:0327