libu2f-hostおよびpam_u2fをバージョン1.0.8にするこの更新プログラムでは、以下の問題が修正されています：

libu2f-host用のセキュリティ問題が修正されました：

CVE-2019-9578：initの応答の誤った解析によるメモリリークを修正しました（bsc#1128140）。

CVE-2018-20340：カスタムメードの悪意のあるUSBデバイスによるがバッファオーバーフローを引き起こす可能性のあるチェックされていないバッファを修正しました（bsc#1124781）。

pam_u2f用に修正されたセキュリティ問題：CVE-2019-12209：ユーザーのディレクトリのシンボリックリンクがたどられる問題を修正しました（bsc#1135729）。

CVE-2019-12210：ファイル記述子の漏洩を修正します（bsc#1135727）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このlibu2f-hostの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-20340：未チェックのバッファを修正しました。これにより、特別に細工された悪意のあるUSBデバイスによってバッファオーバーフローが発生する可能性がありました（bsc#1124781）。

Christian Reitter氏は、U2Fプロトコルのホスト側を実装するライブラリであるlibu2f-hostが、バッファオーバーフローを適切にチェックしないことを発見しました。これにより、セキュリティキーを偽装したカスタムメードの悪意のあるUSBデバイスや、PAM U2Fまたはlibu2f-hostを含むアプリケーションを統合したコンピューターへの物理的アクセス権を持つ攻撃者が、任意コードを実行する可能性があります。

このlibu2f-hostの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-20340：未チェックのバッファを修正しました。これにより、特別に細工された悪意のあるUSBデバイスによってバッファオーバーフローが発生する可能性がありました（bsc#1124781）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このlibu2f-hostの更新では、次の問題を修正します:

この更新は、u2f-host パッケージを導入します (jsc#ECO-3687 bsc#1184648)

バージョン 1.1.10 (2019 年 5 月 15 日リリース)

  - udev ルールに新しいデバイスを追加します。

  - 初期化されていない可能性があるバッファを修正します (CVE-2019-9578、bsc#1128140)

バージョン 1.1.9 (2019 年 3 月 6 日リリース)

  - 一部のデバイスとの互換性を損なう、init 応答からの CID コピーを修正します。

バージョン 1.1.8 (2019 年 3 月 5 日リリース)

  - udev ルールを追加します

  - 70-old-u2f.rules をドロップし、すべてに対して 70-u2f.rules を使用します

  - CID を設定してフィンガープリンティングを防止するためにランダムノンスを使用します

  - CVE-2019-9578: 初期化されていないスタックメモリがデバイスに漏洩しないように、より安定した方法で init への応答を解析します (bsc#1128140)。

バージョン 1.1.7 (2019 年 1 月 8 日リリース)

  - デバイス init のデバイスからの信頼の長さを修正します。

  - デバイスからデータを受信する際のバッファオーバーフローを修正します。
    (YSA-2019-01、CVE-2018-20340、bsc#1124781)

  - udev ルールに新しいデバイスを追加します。

  - Feitian ePass FIDO の udev ルールを追加します 

  - レジスタにタイムアウトを追加し、アクションを認証します。
    この更新はSUSEからインポートされました: SLE-15: 更新プロジェクトを更新します。

このlibu2f-hostの更新では、次の問題を修正します:

この更新は、u2f-host パッケージを導入します (jsc#ECO-3687 bsc#1184648)

バージョン 1.1.10 (2019 年 5 月 15 日リリース)

udev ルールに新しいデバイスを追加します。

初期化されていない可能性があるバッファを修正します (CVE-2019-9578、bsc#1128140)

バージョン 1.1.9 (2019 年 3 月 6 日リリース)

一部のデバイスとの互換性を損なう、init 応答からの CID コピーを修正します。

バージョン 1.1.8 (2019 年 3 月 5 日リリース)

udev ルールを追加します

70-old-u2f.rules をドロップし、すべてに対して 70-u2f.rules を使用します

CID を設定してフィンガープリンティングを防止するためにランダムノンスを使用します

CVE-2019-9578: 初期化されていないスタックメモリがデバイスに漏洩しないように、より安定した方法で init への応答を解析します (bsc#1128140)。

バージョン 1.1.7 (2019 年 1 月 8 日リリース)

デバイス init のデバイスからの信頼の長さを修正します。

- デバイスからデータを受信する際のバッファオーバーフローを修正します。(YSA-2019-01、CVE-2018-20340、bsc#1124781)

udev ルールにいくつかの新しいデバイスを追加します。

Feitian ePass FIDO の udev ルールを追加します

  - レジスタにタイムアウトを追加し、アクションを認証します。

注: Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1755-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Yubico libu2f-host 1.1.6 の devs.c に未チェックのバッファが含まれているため、悪意のあるトークンがバッファオーバーフローを悪用する可能性があります。攻撃者はこれを悪用し、影響を受けるライブラリが現在使用されているコンピューターで、セキュリティトークンを装った細工された USB デバイスを使用して、悪意のあるコードを実行する可能性があります。
    正規の YubiKey でこの攻撃を実行することはできません。(CVE-2018-20340)

  - 1.1.8 より前の Yubico libu2f-host の devs.c で、init への応答が誤って解析され、初期化されていないスタックメモリがデバイスにリークされます。(CVE-2019-9578)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このlibu2f-hostの更新では、次の問題を修正します： 	 修正されたセキュリティ問題：

  - CVE-2018-20340：未チェックのバッファを修正しました。これにより、特別に細工された悪意のあるUSBデバイスによってバッファオーバーフローが発生する可能性がありました（bsc#1124781）。この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126501	SUSE SLED12 / SLES12セキュリティ更新プログラム：libu2f-host（SUSE-SU-2019:1749-1）	Nessus	SuSE Local Security Checks	2019/7/5	2024/5/10	high
122299	openSUSEセキュリティ更新プログラム：libu2f-host（openSUSE-2019-199）	Nessus	SuSE Local Security Checks	2019/2/19	2024/6/19	medium
122102	DebianDSA-4389-1: libu2f-host - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/2/12	2024/6/20	medium
125460	SUSE SLED15 / SLES15セキュリティ更新プログラム：libu2f-host (SUSE-SU-2019:1340-1)	Nessus	SuSE Local Security Checks	2019/5/28	2024/5/20	medium
150098	openSUSEセキュリティ更新プログラム: libu2f-host (openSUSE-2021-799)	Nessus	SuSE Local Security Checks	2021/6/1	2021/6/3	medium
149976	SUSE SLED15/ SLES15セキュリティ更新プログラム: libu2f-host (SUSE-SU-2021:1755-1)	Nessus	SuSE Local Security Checks	2021/5/26	2021/6/1	medium
151710	openSUSE 15 セキュリティ更新 : libu2f-host (openSUSE-SU-2021:1755-1)	Nessus	SuSE Local Security Checks	2021/7/16	2021/7/16	medium
125617	openSUSEセキュリティ更新プログラム：libu2f-host (openSUSE-2019-1475)	Nessus	SuSE Local Security Checks	2019/5/31	2024/5/17	medium

検出

プラグインの検索

high

medium

medium

medium

medium

medium

medium

medium