libresolv ライブラリがデュアル A/AAAA DNS クエリを実行する方法で、スタックベースのバッファオーバーフローが見つかりました。リモートの攻撃者は、特別に細工された DNS 応答を作成して、libresolv をクラッシュさせるか、そのライブラリを実行しているユーザーの権限でコードを実行する可能性があります。注意：この問題は、libresolv が nss_dns NSS サービスモジュールから呼び出される場合に限り発覚します。（CVE-2015-7547）

この更新は以下のバグも修正します：

- 動的ローダーが強化され、静的スレッドローカルストレージを使用するより多くの共有ライブラリのローディングを行えるようになりました。静的スレッドローカルストレージは最速のアクセスメカニズムで、どのような状況でも共有ライブラリのロードも防止する可能性があります。これは、静的ストレージスペースが制限つきの共有プロセスグローバルリソースであるためです。「dlopen: cannot load any more object with static TLS」（「dlopen：静的 TLS のある追加のオブジェクトでロードできません」）で以前エラーを起こしていたアプリケーションも、適切に起動するようになったはずです。

- POSIX リアルタイムサポートのバグにより、サイズが PTHREAD_STACK_MIN（一般的には 16 KiB）を超えた大きなスレッドローカルストレージデータが存在する際に、非同期 I/O または特定のタイマー API コールが失敗したり、エラーを返したりする可能性があります。librt のバグが修正され、アプリケーションに大きなスレッドローカルストレージデータが存在する際に、影響を受ける API がエラーを返さないようになりました。

検出

Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の glibc

high Nessus プラグイン ID 88797

バージョン 2.15