更新済みの patch パッケージで、次のセキュリティの脆弱性が修正されています：

細工された diff ファイルにより patch がメモリを消費し、いずれセグメンテーション違反が起こる可能性があることが報告されました（CVE-2014-9637）。

Git スタイルパッチをサポートする patch ユーティリティのバージョンが、ディレクトリトラバーサルの欠陥に脆弱であることが報告されました。このため、patch を実行するユーザーの権限で、特別に細工されたパッチを適用することにより、攻撃者が任意のファイルを上書きする可能性があります（CVE-2015-1395）。

2.7.4 より前の GNU patch では、パッチファイルのシンボリックリンク攻撃により、リモートの攻撃者が、任意のファイルに書き込みを行う可能性があります（CVE-2015-1196）。

CVE-2014-9637、CVE-2015-1196、および細工された diff による無限ループのセキュリティ修正。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

GNU パッチユーティリティが 2.7.5 へ更新され、3 つのセキュリティの問題と 1 つのセキュリティ関連ではないバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-1196：git 形式のパッチを処理する場合に生じるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きできる場合があります。（bsc#913678）

- CVE-2015-1395：ファイルの名前を変更するパッチを処理する場合に生じるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きできる場合があります。（bsc#915328）

- CVE-2015-1396：シンボリックリンクによるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きする可能性があります。（bsc#915329）

次のバグが修正されました：

- bsc#904519：（diff -p からの）hunks の関数名が拒否ファイルに保存されるようになりました。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

CVE-2014-9637 および CVE-2015-1196 のセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Jakub Wilk 氏は、GNU パッチがパッチファイルでファイルパスを適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 12.04 LTSのみです。
(CVE-2010-4651)

Laszlo Boszormenyi 氏は、GNU パッチが一部のパッチファイルを適切に処理しないことを発見しました。攻撃者が、サービス拒否を引き起こす可能性があるパッチファイルを特別に細工する可能性があります。(CVE-2014-9637)

Jakub Wilk 氏は、GNU パッチが git 形式のパッチファイルでシンボリックリンクを適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。（CVE-2015-1196）

Jakub Wilk 氏は、GNU パッチが git 形式のパッチファイルでファイルの名前の変更を適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。（CVE-2015-1395）

Jakub Wilk 氏は、CVE-2015-1196 の修正が GNU パッチに対して不完全であることを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。
(CVE-2015-1396)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.7.3 以前の Git スタイルのパッチ適用をサポートする GNU パッチバージョン におけるディレクトリトラバーサルの脆弱性により、リモートの攻撃者が、diff ファイル名の ..（ドットドット）を介して、ターゲットユーザーの権限で任意のファイルに書き込む可能性があります。 （CVE-2015-1395）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
81933	Mandriva Linux セキュリティアドバイザリ：patch（MDVSA-2015:050）	Nessus	Mandriva Local Security Checks	2015/3/19	2021/1/6	medium
82391	Mandriva Linux セキュリティアドバイザリ：patch（MDVSA-2015:138）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82596	Fedora 20：patch-2.7.5-1.fc20（2015-1165）	Nessus	Fedora Local Security Checks	2015/4/7	2021/1/11	high
84083	SUSE SLED12/SLES12 セキュリティ更新：パッチ（SUSE-SU-2015:1019-1）	Nessus	SuSE Local Security Checks	2015/6/10	2021/1/6	high
81112	Fedora 21：patch-2.7.3-1.fc21（2015-1134）	Nessus	Fedora Local Security Checks	2015/2/2	2021/1/11	high
84339	Ubuntu 14.04 LTS: GNU patch の脆弱性 (USN-2651-1)	Nessus	Ubuntu Local Security Checks	2015/6/23	2025/9/3	high
218640	Linux Distros のパッチ未適用の脆弱性: CVE-2015-1395	Nessus	Misc.	2025/3/4	2025/8/25	high

検出

プラグインの検索

medium

medium

high

high

high

high

high