このglibc用の更新プログラムでは、次の問題が修正されています：

CVE-2020-1752：ローカル攻撃者が、特別に細工されたパスを作成し、それがglob関数によって処理されたときに任意のコードが実行される可能性のある、glob内メモリ解放後使用を修正しました（bsc#1167631）。

CVE-2020-1751：PowerPCのバックトレース内の配列オーバーフローを修正しました（bsc#1158996）。

CVE-2020-10029：範囲縮小中のスタックベースのバッファオーバーフローを修正しました（bsc#1165784）。

popenで「posix_spawn」を使用し、「subprocess」によって引き起こされるクラッシュを阻止します。
（bsc#1149332、BZ #22834）

ページを越えたニードルの処理を修正し、ページを越えた境界検索中に正しくない結果が返されないようにします。 （bsc#1157893、BZ #25226）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Florian Weimer氏は、GNU Cライブラリが特定のメモリ操作を不適切に処理することを発見しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSのみです。(CVE-2017-12133) GNU Cライブラリが、SSE2に最適化された特定のmemmove操作を不適切に処理していることが判明しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSのみです。(CVE-2017-18269) GNU Cライブラリが、特定のpathname操作を不適切に処理していることが判明しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSのみです。(CVE-2018-11236) GNU Cライブラリが、AVX-512に最適化された特定のmempcpy操作を不適切に処理していることが判明しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSのみです。(CVE-2018-11237) GNU Cライブラリが、特定のホスト名検索を不適切に処理していることが判明しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTSのみです。
(CVE-2018-19591) Jakub Wilk 氏は、GNU C ライブラリが特定の memalign 関数を不適切に処理することを発見しました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSのみです。(CVE-2018-6485) セキュリティの移行後に、GNU CライブラリがLD_PREFER_MAP_32BIT_EXEC環境変数を不適切に無視することがわかりました。ローカルの攻撃者がこの問題を利用して、ASLRの制限をバイパスする可能性があります。(CVE-2019-19126) GNU Cライブラリが特定の正規表現を不適切に処理していることが判明しました。リモートの攻撃者がこの問題を悪用して、GNU Cライブラリをクラッシュさせ、サービス拒否を引き起こす可能性があります。
この問題の影響を受けるのは、Ubuntu 16.04 LTSとUbuntu 18.04 LTSのみです。
(CVE-2019-9169) GNU C ライブラリが特定のビットパターンを不適切に処理することがわかりました。リモートの攻撃者は、この問題を利用して、GNU C ライブラリをクラッシュさせて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTSおよびUbuntu 18.04 LTSのみです。(CVE-2020-10029) GNU Cライブラリが、PowerPC上で特定のシグナルトランポリンを不適切に処理していることが判明しました。リモートの攻撃者は、この問題を利用して、GNU Cライブラリをクラッシュさせ、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。(CVE-2020-1751) GNU Cライブラリがチルダ拡張を不適切に処理していることがわかりました。リモートの攻撃者は、この問題を利用して、GNU Cライブラリをクラッシュさせ、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。(CVE-2020-1752)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新には、重要度中のセキュリティ上の脆弱性の3つの修正を含む、Upstreamのglibc 2.30の安定版リリースブランチからの修正が組み込まれています。（CVE-2020-10029、CVE-2020-1752、CVE-2020-1751）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新には、重要度中のセキュリティ上の脆弱性の3つの修正を含む、Upstreamのglibc 2.29の安定版リリースブランチからの修正が組み込まれています。（CVE-2020-10029、CVE-2020-1752、CVE-2020-1751）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 4444のアドバイザリに記載されている脆弱性の影響を受けます。

  - glibc：cosl、sinl、sincosl、およびtanl関数で細工された入力によるスタック破損（CVE-2020-10029）

  - glibc：powerpcのバックトレース関数における配列オーバーフロー（CVE-2020-1751）

  - glibc：〜ユーザー拡張時におけるglob()関数のメモリ解放後使用（Use After Free）（CVE-2020-1752）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 8ホストに、ELSA-2020-4444アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - チルダ拡張の実行方法に、glibcアップストリームバージョン2.14に導入されたメモリ解放後使用 (Use After Free ) の脆弱性が見つかりました。有効なユーザー名が後に続く最初のチルダを含むディレクトリパスは、この問題の影響を受けました。ローカルの攻撃者が、特別に細工されたパスを作成することでこの欠陥を悪用し、glob関数によって処理されるときに任意のコードを実行させる可能性があります。これはバージョン2.32で修正されました。 (CVE-2020-1752 )

  - PowerPC上でシグナルトランポリンを処理するときの2.31より前のglibcに、領域外書き込みの脆弱性が見つかりました。特に、フレームアドレスを保存するときにbacktrace関数が配列境界を適切にチェックしないため、サービス拒否またはコード実行が発生する可能性がありました。この脆弱性が最大の脅威となるのは、システムの可用性です。 (CVE-2020-1751 )

  2.32より前のGNU Cライブラリ (別名: glibcまたはlibc6 ) は、80ビットの長さのある二重関数への入力に、x86ターゲット上のsinlに0x5d414141414141410000値を渡すときに見られる非正規ビットパターンが含まれる場合、範囲の縮小中にオンスタックバッファがオーバーフローする可能性があります。これは、sysdeps/ieee754/ldbl-96/e_rem_pio2l.cに関連しています。 (CVE-2020-10029 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 4444のアドバイザリに記載されている脆弱性の影響を受けます。

  - glibc：cosl、sinl、sincosl、およびtanl関数で細工された入力によるスタック破損（CVE-2020-10029）

  - glibc：powerpcのバックトレース関数における配列オーバーフロー（CVE-2020-1751）

  - glibc：〜ユーザー拡張時におけるglob()関数のメモリ解放後使用（Use After Free）（CVE-2020-1752）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
135165	SUSE SLES12セキュリティ更新プログラム：glibc（SUSE-SU-2020:0832-1）	Nessus	SuSE Local Security Checks	2020/4/2	2024/3/19	high
138166	Ubuntu 16.04 LTS / 18.04 LTS : GNU C ライブラリの脆弱性 (USN-4416-1)	Nessus	Ubuntu Local Security Checks	2020/7/7	2023/10/21	critical
135209	Fedora 31：glibc（2020-244efc27af）	Nessus	Fedora Local Security Checks	2020/4/6	2024/3/19	high
135372	Fedora 30：glibc（2020-7f625c5ea8）	Nessus	Fedora Local Security Checks	2020/4/10	2024/3/19	high
145977	CentOS 8：glibc（CESA-2020: 4444）	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
142780	Oracle Linux 8: glibc (ELSA-2020-4444 )	Nessus	Oracle Linux Local Security Checks	2020/11/12	2024/2/9	high
142396	RHEL 8: glibc（RHSA-2020: 4444)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/4/28	high

検出

プラグインの検索

high

critical

high

high

high

high

high