このgdalのバージョン2.4.3への更新では、次の問題を修正します：

gdalが2.4.3に更新されました  ：

  - CVE-2019-17545：OGRExpatReallocの二重解放の脆弱性を修正しました（boo#1153918）。

  - 複数のバグおよび安定性の修正。リリースに関する詳細については、次のサイトを参照してください：
    https://trac.osgeo.org/gdal/wiki/Release/2.4.3-News

この更新はCVE-2019-17545を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  3.0.1 までの GDAL において、10MB 閾値を超えた時点で、ogr/ogr_expat.cpp 内の OGRExpatRealloc で poolDestroy の二重解放が発生します。(CVE-2019-17545)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 9 ホストには、dla-2877 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  3.0.1 までの GDAL において、10MB 閾値を超えた時点で、ogr/ogr_expat.cpp 内の OGRExpatRealloc で poolDestroy の二重解放が発生します。(CVE-2019-17545)

  -GDAL 3.3.0から 3.4.0で、 以下にヒープベースのバッファオーバーフローがありますPCIDSK: : CPCIDSKFile: : ReadFromFile (以下から呼び出されるPCIDSK: : CPCIDSKSegment: : ReadFromFile and PCIDSK: : CPCIDSKBinarySegment: : CPCIDSKBinarySegment).
    (CVE-2021-45943)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートホストにインストールされているOracleデータベースサーバーのバージョンは、2021年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database ServerのAdvanced Networking Optionコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。悪用が難しい脆弱性ですが、認証されていない攻撃者がOracle Netを使用してネットワークにアクセスし、Advanced Networking Optionを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはAdvanced Networking Optionですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功した場合、Advanced Networking Optionの乗っ取りが発生する可能性があります。（CVE-2021-2351）

  - Oracle Database ServerのOracle Textコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Alter Any Table権限を取得し、Oracle Textを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Textの乗っ取りが発生する可能性があります。（CVE-2021-2328）

  - Oracle Database ServerのOracle XML DBコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。脆弱性が容易に悪用できるため、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Create Public Synonym権限を取得し、Oracle XML DBを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle XML DBの乗っ取りが発生する可能性があります。
    （CVE-2021-2329）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3129 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  3.0.1 までの GDAL において、10MB 閾値を超えた時点で、ogr/ogr_expat.cpp 内の OGRExpatRealloc で poolDestroy の二重解放が発生します。(CVE-2019-17545)

  -GDAL 3.3.0から 3.4.0で、 以下にヒープベースのバッファオーバーフローがありますPCIDSK: : CPCIDSKFile: : ReadFromFile (以下から呼び出される PCIDSK: : CPCIDSKSegment: : ReadFromFile and PCIDSK: : CPCIDSKBinarySegment: : CPCIDSKBinarySegment).
    (CVE-2021-45943)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

3.0.1までのGDALにおいて、10MBしきい値を超えた時点で、ogr/ogr_expat.cpp内のOGRExpatReallocでpoolDestroyの二重解放が発生していました。

Debian 8「Jessie」では、この問題はバージョン1.10.1+dfsg-8+deb8u1で修正されました。

お使いのgdalのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130891	openSUSEセキュリティ更新プログラム：gdal（openSUSE-2019-2466）	Nessus	SuSE Local Security Checks	2019/11/12	2024/4/12	critical
131259	Fedora 31：mingw-cfitsio/mingw-gdal（2019-f511b38b1f）	Nessus	Fedora Local Security Checks	2019/11/25	2024/4/10	critical
258968	Linux Distros のパッチ未適用の脆弱性: CVE-2019-17545	Nessus	Misc.	2025/8/30	2025/8/30	critical
156691	Debian DLA-2877-1：gdal - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/1/12	2023/11/21	critical
152026	Oracleデータベースサーバーの複数の脆弱性（2021年7月のCPU）	Nessus	Databases	2021/7/23	2023/12/6	critical
165604	Debian DLA-3129-1: gdal - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/9/30	2025/1/22	critical
130769	Debian DLA-1984-1 : gdalセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/12	2024/4/12	critical
131257	Fedora 30：mingw-gdal（2019-a6960910d8）	Nessus	Fedora Local Security Checks	2019/11/25	2024/4/10	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical