Mandriva Linux セキュリティアドバイザリ：apache-mod_wsgi（MDVSA-2015:180）

medium Nessus プラグイン ID 82455

Language:

概要

リモート Mandriva Linux ホストにセキュリティ更新がありません。

説明

更新済みの apache-mod_wsgi パッケージは、セキュリティの脆弱性を修正します：

4.2.4 より前の apache-mod_wsgi には、デーモンプロセスグループに許可された補助グループ数に制限を加える off-by-one エラーが含まれていました。その結果、オペレーティングシステムが許可したものより多くのグループがオプションの補助グループに指定されると、メモリ破損やプロセスのクラッシュが発生する可能性があります。

作業ディレクトリおよびグループのアクセス権限をセットアップする際に、 mod_wsgi がエラーを不適切に処理したことがわかりました。悪意のあるアプリケーションがこの問題を利用して、デーモンモード使用時にローカルの権限昇格を引き起こすことが可能でした（CVE-2014-8583）。