Software Update Stackが更新され、修正および機能拡張が行われました。

libzypp：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-7435, CVE-2017-7436, CVE-2017-9269: GPGチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）。（bsc#1045735、bsc#1038984）

バグ修正：

  - リポジトリタイプが変更された場合にリフレッシュで再プローブします。
    （bsc#1048315）

  - 適切なエラーコードをDownloadProgressReportに伝播します。
    （bsc#1047785）

  - 無条件でappdataの更新をトリガーできるようにします。
    （bsc#1009745）

  - /etc/zypp/vars.dで定義されているカスタムrepo変数をサポートします。

  - ISOイメージのループマウントを適合させます。 （bsc#1038132、 bsc#1033236）

  - リポジトリにbaseurlがない場合に発生する可能性があるクラッシュを修正します。
    （bsc#1043218）

zypper：

  - 署名のないパッケージを報告および処理するようにダウンロードコールバックを適合させます。 （bsc#1038984）

  - 欠落/オプションのファイルを「エラー」ではなく「未検出」として報告します。（bsc#1047785）

  - /etc/zypp/vars.dで定義されているカスタムリポジトリ変数のサポートを文書化します

  - これは、PKによりパッケージ管理がブロックされる場合に送信される「quit」リクエストに対するPackageKitの応答速度に依存することを強調します。

この更新はSUSEからインポートされました：SLE-12-SP2: 更新プロジェクトを更新します。

libzypp、zypperのこの更新プログラムでは、以下の問題が修正されています：

libzyppのセキュリティ修正：

CVE-2018-7685：キャッシングの前にRPMを検証します（bsc#1091624、bsc#1088705）

CVE-2017-9269：不良パッケージがキャッシュに残らないようにします（bsc#1045735）

CVE-2017-7435、CVE-2017-7436、CVE-2017-9269：repo gpgチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）（bsc#1045735、bsc#1038984）

libzyppの変更：

RepoManager：repo2solvを明示的にリクエストして、アプリケーション疑似パッケージを生成します。

「repo2solv.sh」ではなく「repo2solv」の呼び出しを優先します。

libzypp-develではcmakeを必要としません。（bsc#1101349）

HardLocksFile：ターゲットのない空のコミットがロードされるのを防ぎます（bsc#1096803）

ゾンビtarプロセスを回避します。（bsc#1076192）

man：「--configファイル」がzypp.confではなくzypper.confに影響するようにします（bsc#1100028）

ansi.h：ESCシーケンス文字列が範囲外になるのを防ぎます。
（bsc#1092413）

RepoInfo：便利なgpgcheckモード処理のために列挙型のGpgCheckを追加します（bsc#1045735）

repo refresh：リポジトリタイプが変更された場合に再プローブします（bsc#1048315）

パッケージとsrcpackageのダウンロードに共通ワークフローを使用します。これには、gpg署名とチェックを処理およびレポートする一般的な方法が含まれます。（bsc#1037210）

PackageProvider：SrcPackageのダウンロードもサポートします（bsc#1037210用）

GnuPG 2.1.23での処理に適応させます（bsc#1054088）「gpg --list-packets」を使用して、署名を検証するためのkeyidを判別します。

curlバックエンドでhttpエラー502 Bad Gatewayを処理します（bsc#1070851）

zypperセキュリティ修正：

署名チェックコールバックメッセージを改善します（bsc#1045735、CVE-2017-9269）

リポジトリを追加/修正します：GPGチェック設定を調整するオプションを追加します（bsc#1045735、CVE-2017-9269）

署名のないパッケージを報告して処理するためにダウンロードコールバックを適合させます（bsc#1038984、CVE-2017-7436）

zypperの変更：

download：非パッケージ型が引数として渡される場合のクラッシュを修正します（bsc#1037210）

XML <install-summary>属性の「packages-to-change」を追加しました（bsc#1102429）</install-summary>

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Software Update Stackが更新され、修正および機能拡張が行われました。libzypp：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-7435, CVE-2017-7436, CVE-2017-9269: GPGチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）。（bsc#1045735、bsc#1038984）バグ修正：

  - リポジトリタイプが変更された場合に更新で再プローブします。
    （bsc#1048315）

  - 適切なエラーコードをDownloadProgressReportに伝播します。
    （bsc#1047785）

  - 無条件でappdataのリフレッシュをトリガーできるようにします。
    （bsc#1009745）

  - /etc/zypp/vars.dで定義されているカスタムrepo変数をサポートします。

  - ISOイメージのループマウントを適合させます。（bsc#1038132、bsc#1033236）

  - リポジトリにbaseurlがない場合に発生する可能性があるクラッシュを修正します。
    （bsc#1043218）zypper：

  - 署名のないパッケージを報告および処理するようにダウンロードコールバックを適合させます。（bsc#1038984）

  - 欠落/オプションのファイルを「エラー」ではなく「未検出」として報告します。（bsc#1047785）

  - /etc/zypp/vars.dで定義されているカスタムリポジトリ変数のサポートを文書化します

  - これは、PKによりパッケージ管理がブロックされる場合に送信される「quit」リクエストに対するPackageKitの応答速度に依存することを強調します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

libzypp、zypperのこの更新プログラムでは、以下の問題が修正されています：

libzyppのセキュリティ修正：

PackageProvider：キャッシングの前にデルタrpmを検証します（bsc#1091624、bsc#1088705、CVE-2018-7685）

PackageProvider：キャッシングの前にダウンロードされたrpmパッケージ署名を検証します（bsc#1091624、bsc#1088705、CVE-2018-7685）

不良パッケージがキャッシュに残らないようにします（bsc#1045735、CVE-2017-9269）

repo gpgチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）（bsc#1045735、bsc#1038984、CVE-2017-7435、CVE-2017-7436、CVE-2017-9269）

libzyppのその他の変更/バグの修正：バージョン14.45.17への更新

RepoInfo：便利なgpgcheckモード処理のために列挙型のGpgCheckを追加します（bsc#1045735）

repo refresh：リポジトリタイプが変更された場合に再プローブします（bsc#1048315）

パッケージとsrcpackageのダウンロードに共通ワークフローを使用します。これには、gpg署名とチェックを処理およびレポートする一般的な方法が含まれます。（bsc#1037210）

PackageProvider：SrcPackageのダウンロードもサポートします（bsc#1037210用）

GnuPG 2.1.23での処理に適応させます（bsc#1054088）

repo refresh：リポジトリタイプが変更された場合に再プローブします（bsc#1048315）

curlバックエンドでhttpエラー502 Bad Gatewayを処理します（bsc#1070851）

RepoManager：repo2solvを明示的にリクエストして、アプリケーション疑似パッケージを生成します。

「repo2solv.sh」ではなく「repo2solv」の呼び出しを優先します

libzypp-develはcmakeを必要としません（bsc#1101349）

HardLocksFile：ターゲットのない空のコミットがロードされるのを防ぎます（bsc#1096803）

ゾンビtarプロセスを回避します（bsc#1076192）

lsof：Isofがサポートしている場合、「-K i」を使用します（bsc#1099847、bsc#1036304）

zypperセキュリティ修正：署名チェックコールバックメッセージを改善します（bsc#1045735、CVE-2017-9269）

リポジトリを追加/修正します：GPGチェック設定を調整するオプションを追加します（bsc#1045735、CVE-2017-9269）

署名のないパッケージを報告して処理するためにダウンロードコールバックを適合させます（bsc#1038984、CVE-2017-7436）

zypperのその他の変更/バグの修正：バージョン1.11.70への更新

バグ修正：ESCシーケンス文字列が範囲外になるのを防ぎます（bsc#1092413）

XML <install-summary>属性の「packages-to-change」を追加しました（bsc#1102429）</install-summary>

man：「--configファイル」がzypp.confではなくzypper.confに与える影響を強化します（bsc#1100028）

ansi.h：ESCシーケンス文字列が範囲外になるのを防ぎます（bsc#1092413）

cronを推奨しません（bsc#1079334）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Software Update Stackが更新され、修正および機能拡張が行われました。libzypp：

  - CVE-2017-7435, CVE-2017-7436, CVE-2017-9269: GPGチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）。（bsc#1045735、bsc#1038984）

  - gpg-pubkeyリリース（作成時間）計算を修正します。
    （bsc#1036659）

  - lsofブラックリストを更新します。bsc#1046417）

  - リポジトリタイプが変更された場合にリフレッシュで再プローブします。
    （bsc#1048315）

  - 適切なエラーコードをDownloadProgressReportに伝播します。
    （bsc#1047785）

  - 無条件でappdataの更新をトリガーできるようにします。
    （bsc#1009745）

  - /etc/zypp/vars.d. yast2-pkg-bindingsで定義されているカスタムrepo変数をサポートします。

  - リポジトリのURLが定義されていない場合にクラッシュしません。
    （bsc#1043218）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Software Update Stackが更新され、修正および機能拡張が行われましたました☆。

libzypp：

  - CVE-2017-7435, CVE-2017-7436, CVE-2017-9269: GPGチェックワークフローを修正します（主に署名されていないリポジトリとパッケージ）。（bsc#1045735、bsc#1038984）

  - gpg-pubkeyリリース（作成時間）計算を修正します。
    （bsc#1036659）

  - lsofブラックリストを更新します。 bsc#1046417）

  - リポジトリタイプが変更された場合にリフレッシュで再プローブします。
    （bsc#1048315）

  - 適切なエラーコードをDownloadProgressReportに伝播します。
    （bsc#1047785）

  - 無条件でappdataの更新をトリガーできるようにします。
    （bsc#1009745）

  - /etc/zypp/vars.dで定義されているカスタムrepo変数をサポートします。

yast2-pkg-bindings :

  - リポジトリのURLが定義されていない場合にクラッシュしません。
    （bsc#1043218）

この更新はSUSEからインポートされました：SLE-12-SP3: 更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102334	openSUSEセキュリティ更新プログラム：libzypp / zypper（openSUSE-2017-893）	Nessus	SuSE Local Security Checks	2017/8/10	2021/1/19	critical
112200	SUSE SLES12セキュリティ更新プログラム：libzypp、zypper（SUSE-SU-2018:2555-1）	Nessus	SuSE Local Security Checks	2018/8/31	2024/8/13	critical
102193	SUSE SLED12 / SLES12セキュリティ更新プログラム：libzypp、zypper（SUSE-SU-2017:2040-1）	Nessus	SuSE Local Security Checks	2017/8/4	2021/1/6	critical
117453	SUSE SLES12セキュリティ更新プログラム：libzypp、zypper（SUSE-SU-2018:2688-1）	Nessus	SuSE Local Security Checks	2018/9/12	2024/8/8	critical
102802	SUSE SLED12 / SLES12セキュリティ更新プログラム：libzypp（SUSE-SU-2017:2264-1）	Nessus	SuSE Local Security Checks	2017/8/28	2021/1/6	critical
102944	openSUSEセキュリティ更新プログラム：libzypp（openSUSE-2017-989）	Nessus	SuSE Local Security Checks	2017/9/5	2021/1/19	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical