Itzik Kotler氏、Yonatan Fridburg氏、Amit Klein氏は、KDE-Libsが特定のPACファイルを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

すべてのKDE 4アプリケーションのコアライブラリであるkde4libsに、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

  - CVE-2017-6410 Safebreach LabsのItzik Kotler氏、Yonatan Fridberg氏、Amit Klein氏は、FindProxyForURLに渡す前にURLがサニタイズされていないことを報告しました。これにより、リモート攻撃者が、細工されたPACファイルを通じて機密情報を取得する可能性があります。

  - CVE-2017-8422 SUSEのSebastian Krahmer氏は、KAuthフレームワークに、dbusを呼び出すサービスが適切にチェックされないロジックの欠陥があることを発見しました。この欠陥により、発信者のIDをスプーフィングし、特権のないアカウントからroot権限を取得する可能性があります。

このkdelibs3（KDE 3互換性ライブラリ）の更新は、セキュリティの問題を修正します：

  - CVE-2016-6232（karchive）：任意のシステムロケーションへの可能なtarファイルの抽出

  - CVE-2017-6410 （kio）：悪意のあるPACファイルの使用時にhttpsにアクセスする際の情報漏洩

KDE 3互換性ライブラリ用です。（KDE Frameworks 5（kf5-karchiveおよびkf5-kio）およびKDE 4互換ライブラリ（kdelibs 4）のセキュリティ更新プログラムがすでに提出されています。）

また、KCrashのKDE 3互換バージョンが変更され、kde-runtime 4からではなく、Plasma 5からのDrKonqiを使用するようになりました。（元のKDE 3 DrKonqiは、すでに数年前に廃止されました。）kde-runtime 4 DrKonqiは、デフォルトでインストールされておらず、今後のFedoraバージョンで完全に削除されますが、DrKonqiのPlasma 5バージョンはレガシーアプリケーションにも使用できます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このkdelibs4 / kioの更新では、次の問題が修正されます：

  - CVE-2017-6410：悪意のあるPACファイルを使用した場合にhttpsにアクセスすると発生する情報漏洩（boo#1027520）

以下のためのセキュリティ修正 CVE-2017-6410

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

すべてのKDE 4アプリケーションのコアライブラリであるkde4libsに、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

CVE-2017-6410

Safebreach LabsのItzik Kotler氏、Yonatan Fridberg氏、Amit Klein氏は、FindProxyForURLに渡す前にURLがサニタイズされていないことを報告しました。これにより、リモート攻撃者が、細工されたPACファイルを通じて機密情報を取得する可能性があります。

CVE-2017-8422

SUSEのSebastian Krahmer氏は、KAuthフレームワークに、dbusを呼び出すサービスが適切にチェックされないロジックの欠陥があることを発見しました。この欠陥により、発信者のIDをスプーフィングし、特権のないアカウントからroot権限を取得する可能性があります。

CVE-2013-2074

一部のエラーケースで、KIOがWeb認証情報を表示することが発見されました。

Debian 7「Wheezy」では、これらの問題はバージョン4:4.8.4-4+deb7u3で修正されました。

kde4libsパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
97658	Ubuntu 14.04 LTS : KDE-Libs の脆弱性 (USN-3223-1)	Nessus	Ubuntu Local Security Checks	2017/3/10	2024/8/27	medium
100163	Debian DSA-3849-1: kde4libs - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/15	2021/1/11	high
97678	Fedora 25：kdelibs3（2017-4f4eef4791）	Nessus	Fedora Local Security Checks	2017/3/13	2021/1/6	high
97715	openSUSEセキュリティ更新プログラム：kdelibs4 / kio（openSUSE-2017-334）	Nessus	SuSE Local Security Checks	2017/3/14	2021/1/19	medium
97534	Fedora 25：6: kdelibs（2017-53338ece0c）	Nessus	Fedora Local Security Checks	2017/3/6	2021/1/6	medium
97672	Fedora 24：kdelibs3（2017-01eed6fe8c）	Nessus	Fedora Local Security Checks	2017/3/13	2021/1/11	high
100431	Debian DLA-952-1: kde4libsセキュリティ更新	Nessus	Debian Local Security Checks	2017/5/26	2021/1/11	high
97543	Fedora 25：kf5-kio（2017-f9ab92fa6c）	Nessus	Fedora Local Security Checks	2017/3/6	2021/1/6	medium
97681	Fedora 24：6: kdelibs（2017-b011e8c922）	Nessus	Fedora Local Security Checks	2017/3/13	2021/1/6	medium

検出

プラグインの検索

medium

high

high

medium

medium

high

high

medium

medium