Red Hat セキュリティアドバイザリ 2015:2504 から：

1 つのセキュリティ問題を修正する更新済み libreport パッケージが Red Hat Enterprise Linux 6 で利用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Libreport は、Bugzilla、FTP、Trac などのさまざまなバグターゲットに対して、アプリケーションにおけるさまざまな問題をレポートするための API を提供します。ABRT（自動バグレポーティングツール）は libreport を使用します。

クラッシュのレポート中、ABRT が Red Hat Bugzilla に対して意図しない情報を伝える恐れがあることが分かりました。libereport ライブラリのバグにより、破棄されるクラッシュレポートに含まれるファイル内のユーザーにより行われた変更を引き起こしました。その結果、Red Hat Bugzilla 添付ファイルには、ホスト名や IP アドレス、コマンドラインオプションなど、公開する意図のなかったデータが含まれる可能性があります。(CVE-2015-5302)

Red Hat Bugzilla にデータを書き込まないため、Red Hat Enterprise Linux における ABRT のデフォルトインストールはこの欠陥による影響は受けません。しかしこの機能は有効化されると、変更された ABRT インスタンスに影響を与える可能性があります。

その備えとして、Red Hat はそのような ABRT の非デフォルト Red Hat Enterprise Linux ユーザーを識別し、非公開としました。

この問題は Red Hat の Bastien Nocera 氏が見つけました。

libreport のユーザーすべてに、この問題を修正する更新済みパッケージにアップグレードすることを推奨します。

検出

Oracle Linux 6：libreport（ELSA-2015-2504）

medium Nessus プラグイン ID 87042

変更ログが見つかりません