Debian DLA-561-1：uclibc セキュリティ更新

high Nessus プラグイン ID 92568

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

標準的な C ライブラリの実装である uClibc で、いくつかの脆弱性が発見されました。uClibc は glibc よりもかなり小さく、組み込みシステムに有効です。

CVE-2016-2224 特別に細工された DNS 応答を通じた潜在的なサービス拒否を修正します。この DNS 応答により、無限ループが発生する可能性があります。CVE-2016-2225 特別に細工されたパケットを通じた潜在的なサービス拒否を修正します。このパケットにより、libc/inet/resolv.c のパーサーが早期に終了します。

CVE-2016-6264 libc/string/arm/memset.S の「BLT」命令が符号付きの値をチェックしていることが判明しました。memset のパラメーターがマイナスの場合、PC に追加される値は大きくなります。memset の長さのパラメーターをコントロールしている攻撃者が、PC レジスターの値もコントロールできます。

Debian 7「Wheezy」では、これらの問題はバージョン 0.9.32-1+deb7u1 で修正されました。

uclibc パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。