2つのセキュリティ問題および3つのバグを修正する更新済みの qt パッケージは Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Qt は、X Window System 用の GUI（グラフィカルユーザーインターフェイス）アプリケーションの書込みと保守を簡素化するソフトウェアツールキットです。HarfBuzz は OpenType テキストシェーピングエンジンです。

qt の harfbuss モジュールでバッファオーバーフローの欠陥が見つかりました。ユーザーが Qt にリンクされたアプリケーションで、特別に細工されたフォントファイルを読み込んだ場合、これにより、アプリケーションがクラッシュすることや、そのアプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2011-3922）

Qt が IP アドレスワイルドカードで X.509 証明書を処理する方法で欠陥が見つかりました。IP ワイルドカードを含む共通名で証明書を取得できる攻撃者は、この欠陥を悪用して、Qt 
を使用するクライアントアプリケーションの SSL サーバーになりすますことができます。この更新ではさらに、ワイルドカード文字を複数のホスト名コンポーネントに一致させないようにすることで、ホスト名ワイルドカード証明書の処理をより厳密に行うものです。（CVE-2010-5076）

この更新は以下のバグも修正します：

* Phonon API によって、メディアオブジェクトの早期解放が可能になりました。
その結果、GStreamer は、リリースされたメディアオブジェクトへのアクセスに失敗すると、突然終了する可能性があります。この更新では、下層にある Phonon API コードを更新し、この問題が発生することはありません。（BZ#694684）

* 以前、Qt は、「正当に認められていない OpenGL バージョン」エラーを出力して、OpenGL-version-1 互換性モードに戻す可能性があります。この原因は、システムが、使用中の Qt バージョンよりも後にリリースされた OpenGL のバージョンを使用していた場合、システムにインストールした OpenGL のバージョンを認識できなかったためです。この更新では、OpenGL バージョンの認識のためのコードを Qt に追加し、 OpenGL バージョンが不明な場合は、Qt は、 OpenGL の最新の既知のバージョンが利用可能であると想定します。（BZ#757793）

* 以前は、Qt には、Qt がシステムの ca-bundle.crt ファイルを開けれなかった場合に使用していた、信頼できる CA（認証局）証明書のコンパイルリストが含まれていました。この更新により、Qt には、コンパイルした CA 証明書は含まれず、システムバンドルのみを使用します。
（BZ#734444）

Qt のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 Qt ライブラリにリンクされている全ての実行中のアプリケーションを再起動する必要があります。

Qt が、X.509 証明書の Comman Name フィールドにおける ワイルドカードドメイン名や IP アドレスを適切に処理していないことが判明しました。
攻撃者はこれを悪用して、中間者攻撃を実行して機密情報を表示したり、暗号化された通信を変更したりする可能性があります。この問題は、Ubuntu 10.04 LTS だけに影響を与えました。（CVE-2010-5076）

ヒープベースのバッファオーバーフローが HarfBuzz モジュールで発見されました。ユーザーが騙されて細工されたフォントファイルを Qt アプリケーションで開いた場合、攻撃者はサービス拒否を引き起こしたり、プログラムを起動しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2011-3193）

Qt がグレイスケールの TIFF 画像を適切に処理していないことが判明しました。Qt アプリケーションで細工された TIFF ファイルを処理させられた場合、攻撃者がサービス拒否を引き起こす可能性があります。（CVE-2011-3194）。

Red Hat セキュリティアドバイザリ 2012:0880 から：

2つのセキュリティ問題および3つのバグを修正する更新済みの qt パッケージは Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Qt は、X Window System 用の GUI（グラフィカルユーザーインターフェイス）アプリケーションの書込みと保守を簡素化するソフトウェアツールキットです。HarfBuzz は OpenType テキストシェーピングエンジンです。

qt の harfbuss モジュールでバッファオーバーフローの欠陥が見つかりました。ユーザーが Qt にリンクされたアプリケーションで、特別に細工されたフォントファイルを読み込んだ場合、これにより、アプリケーションがクラッシュすることや、そのアプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。(CVE-2011-3922)

Qt が IP アドレスワイルドカードで X.509 証明書を処理する方法で欠陥が見つかりました。IP ワイルドカードを含む共通名で証明書を取得できる攻撃者は、この欠陥を悪用して、Qt 
を使用するクライアントアプリケーションの SSL サーバーになりすますことができます。この更新ではさらに、ワイルドカード文字を複数のホスト名コンポーネントに一致させないようにすることで、ホスト名ワイルドカード証明書の処理をより厳密に行うものです。(CVE-2010-5076)

この更新は以下のバグも修正します：

* Phonon API によって、メディアオブジェクトの早期解放が可能になりました。
その結果、GStreamer は、リリースされたメディアオブジェクトへのアクセスに失敗すると、突然終了する可能性があります。この更新では、下層にある Phonon API コードを更新し、この問題が発生することはありません。（BZ#694684）

* 以前、Qt は、「正当に認められていない OpenGL バージョン」エラーを出力して、OpenGL-version-1 互換性モードに戻す可能性があります。この原因は、システムが、使用中の Qt バージョンよりも後にリリースされた OpenGL のバージョンを使用していた場合、システムにインストールした OpenGL のバージョンを認識できなかったためです。この更新では、OpenGL バージョンの認識のためのコードを Qt に追加し、 OpenGL バージョンが不明な場合は、Qt は、 OpenGL の最新の既知のバージョンが利用可能であると想定します。（BZ#757793）

* 以前は、Qt には、Qt がシステムの ca-bundle.crt ファイルを開けれなかった場合に使用していた、信頼できる CA（認証局）証明書のコンパイルリストが含まれていました。この更新により、Qt には、コンパイルした CA 証明書は含まれず、システムバンドルのみを使用します。
（BZ#734444）

Qt のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 Qt ライブラリにリンクされている全ての実行中のアプリケーションを再起動する必要があります。

Qt は、X Window System 用の GUI（グラフィカルユーザーインターフェイス）アプリケーションの書込みと保守を簡素化するソフトウェアツールキットです。HarfBuzz は OpenType テキストシェーピングエンジンです。

qt の harfbuss モジュールでバッファオーバーフローの欠陥が見つかりました。ユーザーが Qt にリンクされたアプリケーションで、特別に細工されたフォントファイルを読み込んだ場合、これにより、アプリケーションがクラッシュすることや、そのアプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2011-3922）

Qt が IP アドレスワイルドカードで X.509 証明書を処理する方法で欠陥が見つかりました。IP ワイルドカードを含む共通名で証明書を取得できる攻撃者は、この欠陥を悪用して、Qt 
を使用するクライアントアプリケーションの SSL サーバーになりすますことができます。この更新ではさらに、ワイルドカード文字を複数のホスト名コンポーネントに一致させないようにすることで、ホスト名ワイルドカード証明書の処理をより厳密に行うものです。（CVE-2010-5076）

この更新は以下のバグも修正します：

- Phonon API によって、メディアオブジェクトの早期解放が可能になりました。その結果、GStreamer は、リリースされたメディアオブジェクトへのアクセスに失敗すると、突然終了する可能性があります。この更新では、下層にある Phonon API コードを更新し、この問題が発生することはありません。

- 以前、Qt は、「Unrecognized OpenGL version（正当に認められていない OpenGL バージョン）」エラーを出力して、OpenGL-version-1 互換性モードに戻す可能性がありました。この原因は、システムが、使用中の Qt バージョンよりも後にリリースされた OpenGL のバージョンを使用していた場合、システムにインストールした OpenGL のバージョンを認識できなかったためです。この更新では、OpenGL バージョンの認識のためのコードを Qt に追加し、 OpenGL バージョンが不明な場合は、Qt は、 OpenGL の最新の既知のバージョンが利用可能であると想定します。

- 以前は、Qt には、Qt がシステムの ca-bundle.crt ファイルを開けれなかった場合に使用していた、信頼できる CA（認証局）証明書のコンパイルリストが含まれていました。この更新により、Qt には、コンパイルした CA 証明書は含まれず、システムバンドルのみを使用します。

Qt のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、 Qt ライブラリにリンクされている全ての実行中のアプリケーションを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
59593	RHEL 6：qt（RHSA-2012:0880）	Nessus	Red Hat Local Security Checks	2012/6/20	2021/1/14	high
59957	Ubuntu 10.04 LTS / 11.04：qt4-x11 の脆弱性（USN-1504-1）	Nessus	Ubuntu Local Security Checks	2012/7/12	2019/9/19	high
68557	Oracle Linux 6：qt（ELSA-2012-0880）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
61347	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の qt	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
59928	CentOS 6：qt（CESA-2012:0880）	Nessus	CentOS Local Security Checks	2012/7/11	2021/1/4	high

検出

プラグインの検索

high

high

high

high

high