複数のセキュリティ上の問題やバグを修正し、さまざまな機能拡張が追加されたglusterfsパッケージのプログラムが、Red Hat Enterprise Linux 7で実行されるRed Hat Gluster Storage 3.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GlusterFSは、Red Hat Gluster Storageの重要な構成要素です。スタック可能なユーザー空間設計に基づいており、多様なワークロードに優れたパフォーマンスを提供できます。GlusterFSは、ネットワーク相互接続を介したさまざまなストレージサーバーを1つの大規模な並列ネットワークファイルシステムに集約します。セキュリティ修正プログラム：* glusterfs：debug/io-statsトランスレーターのサニタイズされていないファイル名により、リモートの攻撃者が任意のコードを実行する可能性があります（CVE-2018-10904）* glusterfs：server-rpc-fops.cのスタックベースのバッファオーバーフローにより、リモートの攻撃者が任意のコードを実行する可能性があります（CVE-2018-10907）* glusterfs：ストレージサーバー上の任意のデバイスへのI/O（CVE-2018-10923）* glusterfs：デバイスファイルを任意の場所に作成できます（CVE-2018-10926）* glusterfs：ファイルステータス情報の漏えいおよびサービス拒否（CVE-2018-10927）* glusterfs：symlinksの不適切な解決によって権限昇格が可能になります（CVE-2018-10928）* glusterfs：ストレージサーバー上の任意のファイル作成により、任意のコードを実行できます（CVE-2018-10929）* glusterfs：ボリューム外でファイル名が変更される可能性があります。（CVE-2018-10930）* glusterfs：dict.c:dict_unserialize()の不適切な逆シリアル化により、攻撃者が任意のメモリを読み込む可能性があります（CVE-2018-10911）* glusterfs：posix-helpers.cのposix_get_file_contents関数によるGlusterボリュームのリモートサービス拒否（CVE-2018-10914）* glusterfs：posix-helpers.cのposix_get_file_contents関数の情報露出（CVE-2018-10913）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMichael Hanselmann氏（hansmi.ch）に感謝の意を表します。追加の変更：これらの更新済みglusterfsパッケージには、多数のバグ修正および拡張機能が含まれています。スペースの関係上、このアドバイザリにこれらの変更がすべて記載されているわけではありません。これら変更点の最も重要な情報については、Red Hat Gluster Storage 3.4リリースノートをご参照ください（https://access.redhat.com/site/documentation/en-US/red_hat_gluster_storage/3.4/html/3.4_release_notes/）Red Har Gluster Storageのすべてのユーザーはこれらの更新済みパッケージにアップグレードすることをお勧めします。

リモートホストはGLSA-201904-06に記載されているように、脆弱性の影響を受けます（GlusterFS：複数の脆弱性）GlusterFSに複数の脆弱性が見つかりました。詳細については、記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

このglusterfsの更新では、次の問題を修正します：

glusterfsのリリース3.12.15への更新：

  - 多数のバグとセキュリティ問題を修正しました：

  - CVE-2018-1088、CVE-2018-1112（boo#1090084）、CVE-2018-10904（boo#1107018）、CVE-2018-10907（boo#1107019）、CVE-2018-10911（boo#1107020）、CVE-2018-10913（boo#1107021）、CVE-2018-10914（boo#1107022）、CVE-2018-10923（boo#1107023）、CVE-2018-10924（boo#1107024）、CVE-2018-10926（boo#1107025）、CVE-2018-10927（boo#1107026）、CVE-2018-10928（boo#1107027）、CVE-2018-10928（boo#1107027）、CVE-2018-10929（boo#1107028）、CVE-2018-10930（boo#1107029）、boo#1105776。

クラスターファイルシステムのGlusterFSにセキュリティ上の脆弱性が複数発見されました。バッファオーバーフローおよびパストラバーサルの問題により、情報漏洩、サービス拒否または任意のコード実行が引き起こされる可能性があります。

このセキュリティの脆弱性を解決するために、GlusterFSで次の制限が課されました:

  - charおよびblockなどの特殊ファイルでのopen、read、writeは許可されなくなりました

  - io-stat xlatorではステータス情報は/run/glusterディレクトリにしかダンプできません

Debian 8「Jessie」では、これらの問題はバージョン3.5.2-2+deb8u4で修正されました。

glusterfsパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

3.12.14 CVE-2018-10904のGAセキュリティ修正プログラム CVE-2018-10907のセキュリティ修正プログラム CVE-2018-10911のセキュリティ修正プログラム CVE-2018-10913のセキュリティ修正プログラム CVE-2018-10914のセキュリティ修正プログラム CVE-2018-10923のセキュリティ修正プログラム CVE-2018-10926のセキュリティ修正プログラム CVE-2018-10927のセキュリティ修正プログラム CVE-2018-10928のセキュリティ修正プログラム CVE-2018-10929のセキュリティ修正プログラム CVE-2018-10930のセキュリティ修正プログラム

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

4.1.5 GA

----

4.1.4 CVE-2018-10904のGAセキュリティ修正プログラム CVE-2018-10907のセキュリティ修正プログラム CVE-2018-10911のセキュリティ修正プログラム CVE-2018-10913のセキュリティ修正プログラム CVE-2018-10914のセキュリティ修正プログラム CVE-2018-10923のセキュリティ修正プログラム CVE-2018-10926のセキュリティ修正プログラム CVE-2018-10927のセキュリティ修正プログラム CVE-2018-10928のセキュリティ修正プログラム CVE-2018-10929のセキュリティ修正プログラム CVE-2018-10930のセキュリティ修正プログラム

----

/run/gluster/metricsがありません、bz#1624006を参照してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

imgbased、redhat-release-virtualization-host、redhat-virtualization-hostの更新プログラムが、Red Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。redhat-virtualization-hostパッケージは、Red Hat Virtualization Hostを提供します。これらのパッケージには、redhat-release-virtualization-host、ovirt-node、rhev-hypervisorが含まれています。Red Hat Virtualization Hosts（RHVH）は、仮想マシンをホストするために必要なパッケージのみを備えたRed Hat Enterprise Linuxの特別なビルドを使用してインストールされています。RHVHには、ホストのリソースを監視し管理タスクを実行するためのCockpitユーザーインターフェイス機能があります。セキュリティ修正プログラム：* spice：demarshal.py:write_validate_array_item()でチェックが不足しているため、バッファオーバーフローとサービス拒否の可能性があります（CVE-2018-10873）* glusterfs：複数の欠陥（CVE-2018-10904、CVE-2018-10907、CVE-2018-10923、CVE-2018-10926、CVE-2018-10927、CVE-2018-10928、CVE-2018-10929、CVE-2018-10930、CVE-2018-10911、CVE-2018-10914、CVE-2018-14652、CVE-2018-14653、CVE-2018-14654、CVE-2018-14659、CVE-2018-14660、CVE-2018-14661、CVE-2018-10913）* samba：libsmbclientの不十分な入力検証（CVE-2018-10858）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2018-10904、CVE-2018-10907、CVE-2018-10923、CVE-2018-10926、CVE-2018-10927、CVE-2018-10928、CVE-2018-10929、CVE-2018-10930、CVE-2018-10911、CVE-2018-10914、CVE-2018-14652、CVE-2018-14653、CVE-2018-14654、CVE-2018-14659、CVE-2018-14660、CVE-2018-14661、CVE-2018-10913を報告してくれたMichael Hanselmann氏（hansmi.ch）に感謝の意を表します。CVE-2018-10873の問題は、Frediano Ziglio氏（Red Hat）によって発見されました。バグ修正プログラム：* Red Hat Virtualization Host（RHVH）をアップグレードするとき、imgbasedは以前のレイヤーでガベージコレクションを実行していないため、新しい論理ボリュームが削除され、起動エントリが削除された論理ボリュームを指します。RHVHアップグレードが正常に終了すると、ガベージコレクションが失敗しても、ハイパーバイザーは問題なく起動します。（BZ#1632058）* アップグレードプロセス中に、lvremoveがガベージコレクションを実行すると、ユーザーの確認を求めるメッセージが表示され、アップグレードプロセスが失敗します。論理ボリュームを削除しようとするとき、プロセスは「lvremove --force」を使用するようになり、ガベージコレクションが失敗しても、プロセスが失敗することはなく、その結果、アップグレードプロセスは正常に終了します。（BZ#1632585）

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4770-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - GlusterFS 3.5 の __socket_proto_state_machine 関数により、リモートの攻撃者が、00000000 フラグメントヘッダーでサービス拒否 (無限ループ) を引き起こす可能性があります。(CVE-2014-3619)

  - glusterfs は、gluster サーバーノードでの権限昇格に対して脆弱です。TLS を介して認証された gluster クライアントは、--remote-hostコマンドで gluster cli を使用して自身を信頼できるストレージプールに追加し、他のマシンを信頼できるストレージプールに追加する、ボリュームを起動、停止、削除するなどの特権 gluster 操作を実行する可能性があります。(CVE-2018-10841)

  - gluster 3.x スナップショットスケジューラに権限昇格の欠陥が見つかりました。gluster ボリュームのマウントを許可されている gluster クライアントも、シンボリックリンクを介して悪意のある cronjob をスケジュールすることで、共有 gluster ストレージボリュームをマウントし、権限を昇格する可能性があります。(CVE-2018-1088)

  - glusterfs サーバーが、debug/io-stats トランスレーターによって使用される trusted.io-stats-dump 拡張属性のファイルパスを適切にサニタイズしないことが判明しました。攻撃者がこの欠陥を利用して、ファイルを作成し、任意のコードを実行する可能性があります。この攻撃者を悪用するには、gluster ボリューム上のファイルの拡張属性を変更するための十分なアクセス権が必要です。(CVE-2018-10904)

  -「alloca(3)」を使用して固定サイズのバッファを割り当てる server-rpc-fopc.c の関数により、glusterfs サーバーが複数のスタックベースのバッファオーバーフローに対して脆弱であることが判明しました。認証された攻撃者は、gluster ボリュームをマウントし、固定バッファサイズより長い文字列を送信することでこれを悪用し、クラッシュやコード実行を引き起こす可能性があります。(CVE-2018-10907)

  - glusterfs の dic_unserialize 関数に、負のキー長の値を処理しないという欠陥が見つかりました。攻撃者がこの欠陥を悪用し、他の場所のメモリを保存されている dict 値に読み込む可能性があります。
    (CVE-2018-10911)

  - 情報漏洩の脆弱性が、glusterfs サーバーで見つかりました。攻撃者は、glusterfs FUSE を介して xattr リクエストを発行し、ファイルの存在を判断する可能性があります。(CVE-2018-10913)

  - 攻撃者が glusterfs FUSE を介して xattr リクエストを発行し、gluster ブリックプロセスをクラッシュさせ、リモートのサービス拒否を引き起こす可能性があることが判明しました。gluster の多重化が有効な場合、複数のブリックと gluster ボリュームのクラッシュが発生します。(CVE-2018-10914)

  - mknod(2) から派生した mknod 呼び出しが、glusterfs サーバーノード上のデバイスを指すファイルを作成する可能性があることが判明しました。認証された攻撃者がこれを利用して、任意のデバイスを作成し、glusterfs サーバーノードに接続されている任意のデバイスからデータを読み取る可能性があります。(CVE-2018-10923)

  - glusterfs クライアントコードの fsync(2) システムコールによりメモリが漏洩することが発見されました。認証された攻撃者がこの欠陥を利用して、gluster クライアントにホストマシンのメモリを消費させることで、サービス拒否攻撃を仕掛ける可能性があります。(CVE-2018-10924)

  - glusterfs サーバーでサポートされている gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、パストラバーサルを介してファイルを任意の場所に書き込み、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10926)

  - glusterfs サーバーの gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ブリックプロセスをクラッシュさせることで、情報を漏洩し、リモートのサービス拒否を実行する可能性があります。
    (CVE-2018-10927)

  - glusterfs サーバーの gfs3_symlink_req を使用する RPC リクエストに欠陥が見つかりました。これにより、シンボリックリンクの宛先が gluster ボリューム外のファイルパスを指す可能性があります。認証された攻撃者がこの欠陥を利用して、サーバー上の任意の場所を指す任意のシンボリックリンクを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10928)

  - glusterfs サーバーの gfs2_create_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、任意のファイルを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。
    (CVE-2018-10929)

  - glusterfs サーバーの gfs3_rename_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ボリューム外の宛先に書き込む可能性があります。(CVE-2018-10930)

  -、CVE-2018-10927CVE-2018-10928、CVE-2018-10929、CVE-2018-10930、CVE-2018-10926の修正が不完全であることがわかりました。認証されたリモート攻撃者が、これらの欠陥の 1 つを利用して、相対パスへのシンボリックリンクを介して、glusterfs サーバーノードで任意コード実行、任意ファイル作成、またはサービス拒否を引き起こす可能性があります。(CVE-2018-14651)

  - バージョン 3.12 ～ 4.1.4 までの Gluster ファイルシステムは、「pl_getxattr」関数で「GF_XATTR_CLRLK_CMD」xattr を処理するコードを介した、「features/index」トランスレーターにおけるバッファオーバーフローに脆弱です。認証されたリモート攻撃者がマウントされたボリュームでこれを悪用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14652)

  - バージョン 4.1.4 および 3.12 までの Gluster ファイルシステムは、「gf_getspec_req」RPC メッセージを介した「__server_getspec」関数でのヒープベースのバッファオーバーフローに脆弱です。認証されたリモート攻撃者がこれを悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を及ぼしたりする可能性があります。(CVE-2018-14653)

  - バージョン 4.1.4 までの Gluster ファイルシステムは、「features/index」トランスレーターの悪用に対して脆弱です。マウントボリュームへのアクセス権を持つリモートの攻撃者が「GF_XATTROP_ENTRY_IN_KEY」xattrop を介してこれを悪用し、ターゲットサーバーに任意の空のファイルを作成する可能性があります。(CVE-2018-14654)

  - バージョン 4.1.4 および 3.1.2 までの Gluster ファイルシステムは、「GF_XATTR_IOSTATS_DUMP_KEY」xattr の使用によるサービス拒否攻撃に脆弱です。認証されたリモート攻撃者がこれを悪用し、Gluster ボリュームをマウントし、「setxattr(2)」を繰り返し呼び出すことで状態ダンプを誘発し、サーバーのランタイムディレクトリに任意の数のファイルを作成する可能性があります。(CVE-2018-14659)

  - バージョン 4.1.4 および 3.1.2 までの glusterfs サーバーに欠陥が見つかりました。これにより、GF_META_LOCK_KEY xattr を繰り返し使用することが可能でした。認証されたリモートの攻撃者がこの欠陥を利用し、setxattr を繰り返し使用することで単一の inode に複数のロックを作成し、glusterfs サーバーノードをメモリ枯渇させる可能性があります。
    (CVE-2018-14660)

  - Red Hat Gluster Storage に搭載される、glusterfs サーバー 3.8.4 の feature/locks トランスレーターの snprintf 関数を使用すると、フォーマット文字列攻撃に対して脆弱であることが分かりました。認証されたリモート攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14661)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

4.1.4 CVE-2018-10904のGAセキュリティ修正プログラム CVE-2018-10907のセキュリティ修正プログラム CVE-2018-10911のセキュリティ修正プログラム CVE-2018-10913のセキュリティ修正プログラム CVE-2018-10914のセキュリティ修正プログラム CVE-2018-10923のセキュリティ修正プログラム CVE-2018-10926のセキュリティ修正プログラム CVE-2018-10927のセキュリティ修正プログラム CVE-2018-10928のセキュリティ修正プログラム CVE-2018-10929のセキュリティ修正プログラム CVE-2018-10930のセキュリティ修正プログラム

----

/run/gluster/metricsがありません、bz#1624006を参照してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 9 ホストには、dla-2806 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - glusterfs は、gluster サーバーノードでの権限昇格に対して脆弱です。TLS を介して認証された gluster クライアントは、--remote-host コマンドで gluster cli を使用して自身を信頼できるストレージプールに追加し、他のマシンを信頼できるストレージプールに追加する、ボリュームを起動、停止、削除するなどの特権 gluster 操作を実行する可能性があります。(CVE-2018-10841)

  - gluster 3.x スナップショットスケジューラに権限昇格の欠陥が見つかりました。gluster ボリュームのマウントを許可されている gluster クライアントも、シンボリックリンクを介して悪意のある cronjob をスケジュールすることで、共有 gluster ストレージボリュームをマウントし、権限を昇格する可能性があります。(CVE-2018-1088)

  - glusterfs サーバーが、debug/io-stats トランスレーターによって使用される trusted.io-stats-dump 拡張属性のファイルパスを適切にサニタイズしないことが判明しました。攻撃者がこの欠陥を利用して、ファイルを作成し、任意のコードを実行する可能性があります。この攻撃者を悪用するには、gluster ボリューム上のファイルの拡張属性を変更するための十分なアクセス権が必要です。(CVE-2018-10904)

  -「alloca(3)」を使用して固定サイズのバッファを割り当てる server-rpc-fopc.c の関数により、glusterfs サーバーが複数のスタックベースのバッファオーバーフローに対して脆弱であることが判明しました。認証された攻撃者は、gluster ボリュームをマウントし、固定バッファサイズより長い文字列を送信することでこれを悪用し、クラッシュやコード実行を引き起こす可能性があります。(CVE-2018-10907)

  - glusterfs の dic_unserialize 関数に、負のキー長の値を処理しないという欠陥が見つかりました。攻撃者がこの欠陥を悪用し、他の場所のメモリを保存されている dict 値に読み込む可能性があります。
    (CVE-2018-10911)

  - 情報漏洩の脆弱性が、glusterfs サーバーで見つかりました。攻撃者は、glusterfs FUSE を介して xattr リクエストを発行し、ファイルの存在を判断する可能性があります。(CVE-2018-10913)

  - 攻撃者が glusterfs FUSE を介して xattr リクエストを発行し、gluster ブリックプロセスをクラッシュさせ、リモートのサービス拒否を引き起こす可能性があることが判明しました。gluster の多重化が有効な場合、複数のブリックと gluster ボリュームのクラッシュが発生します。(CVE-2018-10914)

  - mknod(2) から派生した mknod 呼び出しが、glusterfs サーバーノード上のデバイスを指すファイルを作成する可能性があることが判明しました。認証された攻撃者がこれを利用して、任意のデバイスを作成し、glusterfs サーバーノードに接続されている任意のデバイスからデータを読み取る可能性があります。(CVE-2018-10923)

  - glusterfs サーバーでサポートされている gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、パストラバーサルを介してファイルを任意の場所に書き込み、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10926)

  - glusterfs サーバーの gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ブリックプロセスをクラッシュさせることで、情報を漏洩し、リモートのサービス拒否を実行する可能性があります。
    (CVE-2018-10927)

  - glusterfs サーバーの gfs3_symlink_req を使用する RPC リクエストに欠陥が見つかりました。これにより、シンボリックリンクの宛先が gluster ボリューム外のファイルパスを指す可能性があります。認証された攻撃者がこの欠陥を利用して、サーバー上の任意の場所を指す任意のシンボリックリンクを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10928)

  - glusterfs サーバーの gfs2_create_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、任意のファイルを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。
    (CVE-2018-10929)

  - glusterfs サーバーの gfs3_rename_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ボリューム外の宛先に書き込む可能性があります。(CVE-2018-10930)

  - バージョン 3.12 ～ 4.1.4 までの Gluster ファイルシステムは、「pl_getxattr」関数で「GF_XATTR_CLRLK_CMD」xattr を処理するコードを介した、「features/index」トランスレーターにおけるバッファオーバーフローに脆弱です。認証されたリモート攻撃者がマウントされたボリュームでこれを悪用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14652)

  - バージョン 4.1.4 および 3.12 までの Gluster ファイルシステムは、「gf_getspec_req」RPC メッセージを介した「__server_getspec」関数でのヒープベースのバッファオーバーフローに脆弱です。認証されたリモート攻撃者がこれを悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を及ぼしたりする可能性があります。(CVE-2018-14653)

  - バージョン 4.1.4 までの Gluster ファイルシステムは、「features/index」トランスレーターの悪用に対して脆弱です。マウントボリュームへのアクセス権を持つリモートの攻撃者が「GF_XATTROP_ENTRY_IN_KEY」xattrop を介してこれを悪用し、ターゲットサーバーに任意の空のファイルを作成する可能性があります。(CVE-2018-14654)

  - バージョン 4.1.4 および 3.1.2 までの Gluster ファイルシステムは、「GF_XATTR_IOSTATS_DUMP_KEY」xattr の使用によるサービス拒否攻撃に脆弱です。認証されたリモート攻撃者がこれを悪用し、Gluster ボリュームをマウントし、「setxattr(2)」を繰り返し呼び出すことで状態ダンプを誘発し、サーバーのランタイムディレクトリに任意の数のファイルを作成する可能性があります。(CVE-2018-14659)

  - バージョン 4.1.4 および 3.1.2 までの glusterfs サーバーに欠陥が見つかりました。これにより、GF_META_LOCK_KEY xattr を繰り返し使用することが可能でした。認証されたリモートの攻撃者がこの欠陥を利用し、setxattr を繰り返し使用することで単一の inode に複数のロックを作成し、glusterfs サーバーノードをメモリ枯渇させる可能性があります。
    (CVE-2018-14660)

  - Red Hat Gluster Storage に搭載される、glusterfs サーバー 3.8.4 の feature/locks トランスレーターの snprintf 関数を使用すると、フォーマット文字列攻撃に対して脆弱であることが分かりました。認証されたリモート攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14661)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118982	CentOS 7：glusterfs（CESA-2018:2607）	Nessus	CentOS Local Security Checks	2018/11/16	2024/7/22	high
123580	GLSA-201904-06：GlusterFS：複数の脆弱性	Nessus	Gentoo Local Security Checks	2019/4/2	2024/6/6	high
133132	openSUSEセキュリティ更新プログラム：glusterfs（openSUSE-2020-79）	Nessus	SuSE Local Security Checks	2020/1/21	2024/3/29	high
117618	Debian DLA-1510-1: glusterfsのセキュリティ更新	Nessus	Debian Local Security Checks	2018/9/21	2024/8/6	high
117841	Fedora 27：glusterfs（2018-9a4d7ec61e）	Nessus	Fedora Local Security Checks	2018/10/1	2024/8/1	high
120672	Fedora 29：glusterfs（2018-a54270a213）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/2	high
118790	RHEL 7：Virtualization Manager（RHSA-2018:3470）	Nessus	Red Hat Local Security Checks	2018/11/7	2024/6/3	high
183640	Ubuntu 16.04ESM / 18.04ESM : GlusterFS の脆弱性 (USN-4770-1)	Nessus	Ubuntu Local Security Checks	2023/10/21	2024/8/27	high
120410	Fedora 28：glusterfs（2018-4e660226e7）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/5	high
154881	Debian DLA-2806-1 : glusterfs - LTS のセキュリティ更新	Nessus	Debian Local Security Checks	2021/11/3	2022/5/9	high
117317	RHEL 7：Gluster Storage（RHSA-2018:2607）	Nessus	Red Hat Local Security Checks	2018/9/6	2024/11/5	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high