この更新はCVE-2019-17545を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このgdalのバージョン2.4.3への更新では、次の問題を修正します：

gdalが2.4.3に更新されました  ：

  - CVE-2019-17545：OGRExpatReallocの二重解放の脆弱性を修正しました（boo#1153918）。

  - 複数のバグおよび安定性の修正。リリースに関する詳細については、次のサイトを参照してください：
    https://trac.osgeo.org/gdal/wiki/Release/2.4.3-News

リモートホストにインストールされているOracleデータベースサーバーのバージョンは、2021年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Database ServerのAdvanced Networking Optionコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。悪用が難しい脆弱性ですが、認証されていない攻撃者がOracle Netを使用してネットワークにアクセスし、Advanced Networking Optionを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはAdvanced Networking Optionですが、攻撃が他の製品に大きな影響を与える可能性があります。この脆弱性への攻撃が成功した場合、Advanced Networking Optionの乗っ取りが発生する可能性があります。（CVE-2021-2351）

  - Oracle Database ServerのOracle Textコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。容易に悪用可能な脆弱性により、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Alter Any Table権限を取得し、Oracle Textを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Textの乗っ取りが発生する可能性があります。（CVE-2021-2328）

  - Oracle Database ServerのOracle XML DBコンポーネントの脆弱性。影響を受けるサポート対象のバージョンは、12.1.0.2および19cです。脆弱性が容易に悪用できるため、権限の高い攻撃者が、Oracle Netを介したネットワークアクセスによりCreate Any Procedure、Create Public Synonym権限を取得し、Oracle XML DBを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle XML DBの乗っ取りが発生する可能性があります。
    （CVE-2021-2329）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 9 ホストには、dla-2877 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  3.0.1 までの GDAL において、10MB 閾値を超えた時点で、ogr/ogr_expat.cpp 内の OGRExpatRealloc で poolDestroy の二重解放が発生します。(CVE-2019-17545)

  -GDAL 3.3.0から 3.4.0で、 以下にヒープベースのバッファオーバーフローがありますPCIDSK: : CPCIDSKFile: : ReadFromFile (以下から呼び出されるPCIDSK: : CPCIDSKSegment: : ReadFromFile and PCIDSK: : CPCIDSKBinarySegment: : CPCIDSKBinarySegment).
    (CVE-2021-45943)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

3.0.1までのGDALにおいて、10MBしきい値を超えた時点で、ogr/ogr_expat.cpp内のOGRExpatReallocでpoolDestroyの二重解放が発生していました。

Debian 8「Jessie」では、この問題はバージョン1.10.1+dfsg-8+deb8u1で修正されました。

お使いのgdalのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 10 ホストには、dla-3129 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  3.0.1 までの GDAL において、10MB 閾値を超えた時点で、ogr/ogr_expat.cpp 内の OGRExpatRealloc で poolDestroy の二重解放が発生します。(CVE-2019-17545)

  -GDAL 3.3.0から 3.4.0で、 以下にヒープベースのバッファオーバーフローがありますPCIDSK: : CPCIDSKFile: : ReadFromFile (以下から呼び出される PCIDSK: : CPCIDSKSegment: : ReadFromFile and PCIDSK: : CPCIDSKBinarySegment: : CPCIDSKBinarySegment).
    (CVE-2021-45943)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
131259	Fedora 31：mingw-cfitsio/mingw-gdal（2019-f511b38b1f）	Nessus	Fedora Local Security Checks	2019/11/25	2024/4/10	critical
130891	openSUSEセキュリティ更新プログラム：gdal（openSUSE-2019-2466）	Nessus	SuSE Local Security Checks	2019/11/12	2024/4/12	critical
152026	Oracleデータベースサーバーの複数の脆弱性（2021年7月のCPU）	Nessus	Databases	2021/7/23	2023/12/6	critical
156691	Debian DLA-2877-1：gdal - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/1/12	2023/11/21	critical
130769	Debian DLA-1984-1 : gdalセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/12	2024/4/12	critical
131257	Fedora 30：mingw-gdal（2019-a6960910d8）	Nessus	Fedora Local Security Checks	2019/11/25	2024/4/10	critical
165604	Debian DLA-3129-1: gdal - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/9/30	2025/1/22	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical