zstd用のこの更新プログラムでは、以下の問題が修正されています:

  - CVE-2021-24031: 圧縮または回答中のファイルに読み取り権限を追加しました (bsc#1183371)。

  - CVE-2021-24032: 攻撃者が誰でも読み取れる移動先ファイルにアクセスできるようにした可能性のある競合状態を修正しました (bsc#1183370)。

この更新はSUSEからインポートされました: SLE-15: 更新プロジェクトを更新します。

リモートホストにインストールされている Oracle データベースサーバーのバージョンは、2023 年 10 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database Server の Oracle Spatial および Graph (cURL) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.20 および 21.3-21.11です。容易に悪用できる脆弱性により、認証ユーザー権限を持つ権限の低い攻撃者が HTTP を介してネットワークにアクセスし、Oracle Spatial および Graph (cURL) を侵害する可能性があります。この脆弱性を利用した攻撃に成功すると、権限がなくても、Oracle Spatial および Graph (cURL) をハングアップさせたり、頻繁に繰り返しクラッシュ (完全な DOS) させたりすることができるようになります。
    (CVE-2023-38039)

  - Oracle Database Server の OML4Py (cryptography) コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、21.3-21.11 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、OML4Py (cryptography) を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや OML4Py (cryptography) がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。(CVE-2022-23491)

  - Oracle Database Server の PL/SQL コンポーネントの脆弱性。サポートされているバージョンで影響を受けるのは、19.3-19.20 および 21.3-21.11です。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Net を介したネットワークアクセスにより、Create Session や Execute on sys.utl_http 権限を取得し、PL/SQL を侵害する可能性があります。
    攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのは PL/SQL ですが、攻撃が他の製品に大きな影響を与える可能性があります。(範囲変更)
    この脆弱性を利用した攻撃が成功すると、権限のない更新や一部の PL/SQL アクセス可能データの挿入または削除、PL/SQL アクセス可能データの一部に対する権限のない読み取りアクセス、および PL/SQL の部分的なサービス拒否 (部分的な DOS) を権限なしに引き起こす可能性があります。(CVE-2023-22071)

  - 悪用不可能な脆弱性に対する多層セキュリティの更新 CVE-2020-25649、CVE-2020-36518、CVE-2021-34031、CVE-2022-4899、CVE-2022-42003、CVE-2022-42004、CVE-2022-46908、CVE-2023-2976、CVE-2023-35887。


Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

zstd用のこの更新プログラムでは、以下の問題が修正されています:

CVE-2021-24031: 圧縮または回答中のファイルに読み取り権限を追加しました (bsc#1183371)。

CVE-2021-24032: 攻撃者が誰でも読み取れる移動先ファイルにアクセスできるようにした可能性のある競合状態を修正しました (bsc#1183370)。

注: Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Ubuntu 16.04 ESM ホストには、USN-5720-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v1.4.1より前のZstandardコマンドラインユーティリティでは、出力ファイルがデフォルトの権限で作成されていました。
    (入力に一致する) 正しいファイル権限が設定されるのは、完了時点のみでした。このため、意図しない利用者に対して出力ファイルが読み取り可能または書き込み可能になる可能性があります。(CVE-2021-24031)

  - v1.4.1からv1.4.9までのバージョンでは、CVE-2021-24031の修正が不完全であったため、Zstandardコマンドラインユーティリティがデフォルトの権限で出力ファイルを作成し、その後即時にこれらの権限を制限していました。このため、意図しない利用者に対して出力ファイルが一時的に読み取り可能または書き込み可能となる可能性があります。(CVE-2021-24032)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 18.04 LTS/20.04 LTS/20.10ホストには、USN-4760-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v1.4.1より前のZstandardコマンドラインユーティリティでは、出力ファイルがデフォルトの権限で作成されていました。
    (入力に一致する) 正しいファイル権限が設定されるのは、完了時点のみでした。このため、意図しない利用者に対して出力ファイルが読み取り可能または書き込み可能になる可能性があります。(CVE-2021-24031)

  - v1.4.1からv1.4.9までのバージョンでは、CVE-2021-24031の修正が不完全であったため、Zstandardコマンドラインユーティリティがデフォルトの権限で出力ファイルを作成し、その後即時にこれらの権限を制限していました。このため、意図しない利用者に対して出力ファイルが一時的に読み取り可能または書き込み可能となる可能性があります。(CVE-2021-24032) 

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
148209	openSUSEセキュリティ更新プログラム: zstd(openSUSE-2021-481)	Nessus	SuSE Local Security Checks	2021/3/29	2024/1/8	medium
183503	Oracle Database Server (2023 年 10 月 CPU)	Nessus	Databases	2023/10/20	2024/1/18	medium
148155	SUSE SLED15/ SLES15セキュリティ更新プログラム: zstd(SUSE-SU-2021:0948-1)	Nessus	SuSE Local Security Checks	2021/3/26	2024/1/8	medium
167229	Ubuntu 16.04 ESM: Zstandard の脆弱性 (USN-5720-1)	Nessus	Ubuntu Local Security Checks	2022/11/9	2023/7/10	medium
148007	Ubuntu 18.04 LTS / 20.04 LTS : libzstdの脆弱性 (USN-4760-1)	Nessus	Ubuntu Local Security Checks	2021/3/23	2023/10/20	medium

検出

プラグインの検索

medium

medium

medium

medium

medium