Apple iTunes < 12.4.2 複数の脆弱性(uncredentialed check)

critical Nessus プラグイン ID 92411

概要

リモートホストは、複数の脆弱性の影響を受けるアプリケーションを実行しています。

説明

リモート Windows ホストに実行されている Apple iTunes は 12.4.2 より前のバージョンです。したがって、以下の複数の脆弱性による影響を受けます:

- libxslt コンポーネントにおいて、ユーザー指定の入力の不適切な検証に起因する、複数のメモリ破損の問題が存在します。認証されていないリモートの攻撃者がこれを悪用し、サービス拒否状態を引き起こすことや、任意のコードを実行することができます。(CVE-2016-1684、 CVE-2016-4607、CVE-2016-4608、CVE-2016-4609、 CVE-2016-4610、CVE-2016-4612)

- libxml2 コンポーネントに複数のメモリ破損の問題が存在します。これにより、リモートの攻撃者は、サービス拒否状態を引き起こしたり、任意のコードを実行したりすることが可能です。
(CVE-2016-1836、CVE-2016-4447、CVE-2016-4448、CVE-2016-4483、CVE-2016-4614、CVE-2016-4615、CVE-2016-4616、CVE-2016-4619)

- XXE(Xml 外部エンティティ)インジェクションの脆弱性が libxml2 コンポーネントに存在します。これは、不適切に構成された XML パーサーが、信頼できないソースから XML 外部エンティティを受け入れることが原因です。リモートの攻撃者がこれを悪用して、特別に細工された XML ファイルを介して任意のファイルやユーザー情報を漏洩させる可能性があります。(CVE-2016-4449)

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ソリューション

Apple iTunes バージョン 12.4.2 以降にアップグレードしてください。

関連情報

https://support.apple.com/en-us/HT206901

http://www.nessus.org/u?1925ec51

プラグインの詳細

深刻度: Critical

ID: 92411

ファイル名: itunes_12_4_2_banner.nasl

バージョン: 1.6

タイプ: remote

ファミリー: Peer-To-Peer File Sharing

公開日: 2016/7/19

更新日: 2019/11/19

リスク情報

CVSS スコアのソース: CVE-2016-4448

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 7.4

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:apple:itunes

必要な KB アイテム: iTunes/sharing

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2016/7/18

脆弱性公開日: 2016/4/6

参照情報

CVE: CVE-2016-1684, CVE-2016-1836, CVE-2016-4447, CVE-2016-4448, CVE-2016-4449, CVE-2016-4483, CVE-2016-4607, CVE-2016-4608, CVE-2016-4609, CVE-2016-4610, CVE-2016-4612, CVE-2016-4614, CVE-2016-4615, CVE-2016-4616, CVE-2016-4619

BID: 90013, 90856, 90864, 90865, 90876

APPLE-SA: APPLE-SA-2016-07-18-6