CVE-2016-6263、CVE-2015-8948、CVE-2016-6262、CVE-2016-6261 のセキュリティ修正

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Simon Josefsson 氏による報告：

libidn：idna_to_ascii_4i の領域外スタック読み取りを修正します。

idn：1 つのゼロバイトを入力として読み取る際の領域外読み取りを解決します。
また、fgets を getline と置換しました。

libidn：stringprep_utf8_nfkc_normalize は無効な UTF-8 を拒否します。UTF-8 データしか受け入れないことは常に文書化されていますが、こうしたデータを提供されてもクラッシュしなくなりました。

libidn 用のこの更新は、次の問題を修正します：

- CVE-2016-6262 および CVE-2015-8948：1 つのゼロバイトを入力として読み取る際の領域外読み取り（bsc#990189）

- CVE-2016-6261：idna_to_ascii_4i の領域外スタック読み取り（bsc#990190）

- CVE-2016-6263：stringprep_utf8_nfkc_normalize は無効な UTF-8 を拒否します（bsc#990191）

- CVE-2015-2059：無効な UTF-8 上の stringprep の領域外読み取り（bsc#923241）

この更新は、SUSE:SLE-12 からインポートされました：更新プロジェクトを更新します。

libidn 用のこの更新は、次の問題を修正します：

- CVE-2016-6262 および CVE-2015-8948：1 つのゼロバイトを入力として読み取る際の領域外読み取り（bsc#990189）

- CVE-2016-6261：idna_to_ascii_4i の領域外スタック読み取り（bsc#990190）

- CVE-2016-6263：stringprep_utf8_nfkc_normalize は無効な UTF-8 を拒否します（bsc#990191）

- CVE-2015-2059：無効な UTF-8 上の stringprep の領域外読み取り（bsc#923241）

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

バージョン 1.33 へのこの libidn の更新では、次の問題を修正しています：

修正されたセキュリティの課題：

- CVE-2015-8948、CVE-2016-6262：1 つのゼロバイトを入力として読み取る際の領域外読み取りを修正（bsc#990189）。

- CVE-2016-6263：stringprep_utf8_nfkc_normalize を修正して、無効な UTF-8 を拒否（bsc#boo#990191）。

含まれるバグ修正：

- idna_to_unicode_8z8z および idna_to_unicode_8zlz での（1.31 で取り込まれた）クラッシュを修正。

- API および ABI は、以前のバージョンとの下位互換性があります。

- gpg キーリングを更新

リモートの Ubuntu 14.04 LTS / 16.04 LTS ホストには、USN-3068-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Thijs Alkemade 氏、Gustavo Grieco 氏、Daniel Stenberg 氏、および Nikos Mavrogiannopoulos 氏は、Libidn が無効な UTF-8 文字を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、Libidn をクラッシュさせてサービス拒否を引き起こしたり、機密メモリを開示したりする可能性があります。この問題が該当するのはUbuntu 12.04 LTSとUbuntu 14.04 LTSのみです。(CVE-2015-2059)

    Hanno Bck 氏は、Libidn が特定の入力を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して Libidn をクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2015-8948、CVE-2016-6262、CVE-2016-6261、CVE-2016-6263)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

1.33への更新（#1374902、#1359147、#1359148）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ問題を修正する新しいlibidnパッケージが、Slackware 13.0、13.1、13.37、14.0、14.1、14.2、および最新版で利用可能です。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92800	Fedora 23：libidn（2016-610fe5f5f8）	Nessus	Fedora Local Security Checks	2016/8/9	2021/1/11	high
92529	Fedora 24：libidn（2016-42514bee97）	Nessus	Fedora Local Security Checks	2016/7/25	2021/1/11	high
92652	FreeBSD：libidn -- 複数の脆弱性（cb5189eb-572f-11e6-b334-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/8/1	2021/1/4	high
93092	openSUSE セキュリティ更新：libidn（openSUSE-2016-1014）	Nessus	SuSE Local Security Checks	2016/8/24	2021/1/19	high
93459	SUSE SLES11 セキュリティ更新：libidn（SUSE-SU-2016:2291-1）	Nessus	SuSE Local Security Checks	2016/9/13	2021/1/19	high
92743	openSUSE セキュリティ更新：libidn（openSUSE-2016-925）	Nessus	SuSE Local Security Checks	2016/8/5	2021/1/19	high
93107	Ubuntu 14.04 LTS / 16.04 LTS : Libidn の脆弱性 (USN-3068-1)	Nessus	Ubuntu Local Security Checks	2016/8/25	2024/8/27	high
94888	Fedora 25：mingw-libidn（2016-f99c0a8b69）	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	high
92607	Slackware 13.0/13.1/13.37/14.0/14.1/14.2/最新版：libidn（SSA：2016-210-01）	Nessus	Slackware Local Security Checks	2016/7/29	2021/1/14	high
93292	SUSE SLED12 / SLES12 セキュリティ更新：libidn（SUSE-SU-2016:2079-1）	Nessus	SuSE Local Security Checks	2016/9/2	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high