Red Hat セキュリティアドバイザリ 2015:2111 から：

1 つのセキュリティ問題といくつかのバグを修正する更新済みの grep パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

grep ユーティリティは、指定されたパターンとの一致を含む行をテキスト入力から検索して、これらの一致する行を出力します。GNU grep ユーティリティには、grep、egrep、fgrep が含まれます。

grep が特定のパターンやテキストの組み合わせを処理する方法で、ヒープベースのバッファオーバーフロー欠陥が見つかりました。ユーザーを騙して、特別に細工された入力で grep を実行させることができる攻撃者が、この欠陥を利用して grep をクラッシュさせたり、初期化されていないメモリから読み取ったりすることができます。
(CVE-2015-1345)

この更新は以下のバグも修正します：

* この更新の前は、\w や \W の記号が、 [:alnum:] 文字クラスと一貫性がなく一致していました。その結果、「\w」および「\W」とともに正規表現を使用すると、不正確な結果を引き起こすおそれがあります。この更新により、「\w」は [_[:alnum:]] 文字に一貫して一致し、「\W」は [^_[:alnum:]] 文字に一貫して一致します。（BZ#1159012）

* 以前は、Perl Compatible Regular Expression（PCRE）マッチャー（grep の「-P」パラメーターにより選択）は、UTF-8 ロケールで非 UTF-8 テキストの一致を行う際に正しく動作しませんでした。その結果、無効な UTF-8 バイトシーケンスの文字に関するエラーメッセージが返されていました。このバグを修正するために、上流からのパッチが grep ユーティリティに適用されています。結果として、PCRE は、エラーメッセージを返さずに非 UTF-8 文字を一致しないテキストとしてスキップするようになりました。（BZ#1217080）

grep の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

検出

Oracle Linux 7：grep（ELSA-2015-2111）

low Nessus プラグイン ID 87022

変更ログが見つかりません