バージョン1.5.4に対するマイナーなセキュリティおよびバグ修正更新。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

インストールされたcronieパッケージのバージョンによると、リモートホストへのEulerOSのインストールは、次の脆弱性の影響を受けます。- 3.0pl1-133 Debianパッケージの前のVixie Cronではcallocの戻り値がチェックされないため、大規模なcrontabファイルを介してローカルユーザーがサービス拒否（デーモンクラッシュ）を引き起こす可能性があります。（CVE-2019-9704）- 3.0pl1-133 Debianパッケージの前のVixie Cronでは、無制限の行数が受け入れられるため、大規模なcrontabファイルを介してローカルユーザーがサービス拒否（メモリ消費）を引き起こす可能性があります。（CVE-2019-9705）注：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このcronie用更新プログラムでは、以下の問題を修正します。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9704：ローカルユーザーがデーモンをクラッシュさせることで、サービス拒否を作成可能なcallocの戻り値で不十分なチェックを修正しました（bsc#1128937）。

CVE-2019-9705：ローカルユーザーがサービス拒否につながるメモリ枯渇を引き起こす可能性のある実装の脆弱性を修正しました（bsc#1128935）。

バグ修正：systemdを使用すれば、起動後もcronの手動起動が可能です（bsc#1133100）。

Cronはcrontabの唯一のジョブをスケジュールします（bsc#1130746）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのDebian 9ホストには、dla-2801のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Debianの3.0pl1-128まで、およびUbuntuの3.0pl1-128ubuntu2までのcronパッケージでは、postinstメンテナースクリプトにより、chownおよびchmodプログラムの安全でない使用に対するシンボリックリンク攻撃を介して、group-crontab-to-root権限昇格が可能になります。（CVE-2017-9525）

  - 3.0pl1-133 Debianパッケージより前のVixie Cronでは、calloc戻り値がチェックされないため、ローカルユーザーが大きなcrontabファイルを介してサービス拒否（デーモンクラッシュ）を引き起こす可能性があります。（CVE-2019-9704）

  - 3.0pl1-133 Debianパッケージより前のVixie Cronでは、無制限の数のラインが受け入れられるため、ローカルユーザーが大きなcrontabファイルを介してサービス拒否（メモリ破損）を引き起こす可能性があります。（CVE-2019-9705）

  - 3.0pl1-133 Debianパッケージより前のVixie Cronでは、force_rescan_userエラーが原因で、ローカルユーザーがサービス拒否（メモリ解放後使用およびデーモンクラッシュ）を引き起こす可能性があります。（CVE-2019-9706）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このcronie用更新プログラムでは、以下の問題を修正します。

修正されたセキュリティ問題：

CVE-2019-9704：ローカルユーザーがデーモンをクラッシュさせることで、サービス拒否を作成可能なcallocの戻り値で不十分なチェックを修正しました。（bsc#1128937）。

CVE-2019-9705：ローカルユーザーがサービス拒否につながるメモリ枯渇を引き起こす可能性のある実装の脆弱性を修正しました（bsc#1128935）。

バグ修正：systemdを使用すれば、起動後もcronの手動起動が可能です（bsc#1133100）。

Cronはcrontabの唯一のジョブをスケジュールします（bsc#1130746）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このcronie用更新プログラムでは、以下の問題を修正します。

修正されたセキュリティ問題：

  - CVE-2019-9704：ローカルユーザーがデーモンをクラッシュさせることで、サービス拒否を作成可能なcallocの戻り値で不十分なチェックを修正しました。（bsc#1128937）。

  - CVE-2019-9705：ローカルユーザーがサービス拒否につながるメモリ枯渇を引き起こす可能性のある実装の脆弱性を修正しました（bsc#1128935）。 

バグ修正：

  - systemdを使用すれば、起動後もcronの手動起動が可能です（bsc#1133100）。

  - Cronはcrontabの唯一のジョブをスケジュールします（bsc#1130746）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

DebianのCRONスケジューラで、様々なセキュリティ問題が発見されました。

CVE-2017-9525

Alexander Peslyak氏（Solar Designer）がDos:で説明しているように、Debianパッケージのpostinstスクリプトを介してグループcrontabがroot権限昇格にhttp://www.openwall.com/lists/oss-security/2017/06/08/3

CVE-2019-9704

修正されます。calloc()の未検査リターンが修正されます。Florian Weimer氏は、calloc()の戻り値のチェック漏れがdaemonをクラッシュさせる可能性があることを発見しました。これは、ユーザーが作成した非常に大きなcrontabが原因である可能性があります。

CVE-2019-9705

crontabの最大行数を強制的に1000とし、悪意のあるユーザーが過剰に大きいcrontabを作成することを防止します。daemonは既存のファイルに対する警告を記録し、crontab(1)は新しいファイルの作成を拒否します。

CVE-2019-9706

ユーザーは、cron daemonのメモリ解放後使用の状態を報告しました。これは、daemonをクラッシュさせることで、サービス拒否のシナリオが発生する可能性があります。 

Debian 8「Jessie」では、これらの問題はバージョン3.0pl1-127+deb8u2で修正されました。

お使いのcronパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

1.5.4に対するマイナーなセキュリティおよびバグ修正更新。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 LTS ホストには、USN-5259-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Debianの3.0pl1-128 まで、および Ubuntuの3.0pl1-128ubuntu2 までの cron パッケージでは、postinst メンテナースクリプトにより、chown および chmod プログラムの安全でない使用に対するシンボリックリンク攻撃を介して、group-crontab-to-root 権限昇格が可能になります。(CVE-2017-9525)

  - 3.0pl1-133 Debian パッケージより前の Vixie Cron では、calloc 戻り値がチェックされないため、ローカルユーザーが大きな crontab ファイルを介してサービス拒否 (デーモンクラッシュ) を引き起こす可能性があります。(CVE-2019-9704)

  - 3.0pl1-133 Debianパッケージより前の Vixie Cron では、無制限の数のラインが受け入れられるため、ローカルユーザーが大きな crontab ファイルを介してサービス拒否 (メモリ破損) を引き起こす可能性があります。(CVE-2019-9705)

  - 3.0pl1-133 Debian パッケージより前の Vixie Cron では、force_rescan_user エラーが原因で、ローカルユーザーがサービス拒否 (メモリ解放後使用およびデーモンクラッシュ) を引き起こす可能性があります。(CVE-2019-9706)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

このcronie用更新プログラムでは、以下の問題を修正します。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9704：ローカルユーザーがデーモンをクラッシュさせることで、サービス拒否を作成可能なcallocの戻り値で不十分なチェックを修正しました。（bsc#1128937）。

CVE-2019-9705：ローカルユーザーがサービス拒否につながるメモリ枯渇を引き起こす可能性のある実装の脆弱性を修正しました（bsc#1128935）。

バグ修正：systemdを使用すれば、起動後もcronの手動起動が可能です（bsc#1133100）。

Cronはcrontabの唯一のジョブをスケジュールします（bsc#1130746）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Ubuntu 18.04LTS ホストには、USN-5259-2のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Debianの3.0pl1-128 まで、および Ubuntuの3.0pl1-128ubuntu2 までの cron パッケージでは、postinst メンテナースクリプトにより、chown および chmod プログラムの安全でない使用に対するシンボリックリンク攻撃を介して、group-crontab-to-root 権限昇格が可能になります。(CVE-2017-9525)

  - 3.0pl1-133 Debian パッケージより前の Vixie Cron では、calloc 戻り値がチェックされないため、ローカルユーザーが大きな crontab ファイルを介してサービス拒否 (デーモンクラッシュ) を引き起こす可能性があります。(CVE-2019-9704)

  - 3.0pl1-133 Debianパッケージより前の Vixie Cron では、無制限の数のラインが受け入れられるため、ローカルユーザーが大きな crontab ファイルを介してサービス拒否 (メモリ破損) を引き起こす可能性があります。(CVE-2019-9705)

  - 3.0pl1-133 Debian パッケージより前の Vixie Cron では、force_rescan_user エラーが原因で、ローカルユーザーがサービス拒否 (メモリ解放後使用およびデーモンクラッシュ) を引き起こす可能性があります。(CVE-2019-9706)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
122981	Fedora 29：cronie（2019-7104a00054）	Nessus	Fedora Local Security Checks	2019/3/21	2020/2/3	medium
131649	EulerOS 2.0 SP2：cronie（EulerOS-SA-2019-2496）	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
127092	SUSE SLED12 / SLES12セキュリティ更新プログラム：cronie（SUSE-SU-2019:1990-1）	Nessus	SuSE Local Security Checks	2019/7/26	2024/5/8	medium
154747	Debian DLA-2801-1：cron - LTSセキュリティ更新	Nessus	Debian Local Security Checks	2021/10/30	2023/11/27	medium
125673	SUSE SLED15 / SLES15セキュリティ更新プログラム：cronie（SUSE-SU-2019:1389-1）	Nessus	SuSE Local Security Checks	2019/6/3	2024/5/17	medium
125758	openSUSEセキュリティ更新プログラム：cronie（openSUSE-2019-1520）	Nessus	SuSE Local Security Checks	2019/6/7	2024/5/16	medium
123017	DebianDLA-1723-1: cronのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/25	2021/1/11	medium
124499	Fedora 30：cronie（2019-676e120269）	Nessus	Fedora Local Security Checks	2019/5/2	2024/5/30	medium
157299	Ubuntu 16.04 ESM: Cron の脆弱性 (USN-5259-1)	Nessus	Ubuntu Local Security Checks	2022/2/1	2023/10/20	medium
126496	SUSE SLED15 / SLES15セキュリティ更新プログラム：cronie（SUSE-SU-2019:1389-2）	Nessus	SuSE Local Security Checks	2019/7/5	2024/5/10	medium
160668	Ubuntu 18.04LTS: Cron の脆弱性 (USN-5259-2)	Nessus	Ubuntu Local Security Checks	2022/5/6	2023/7/10	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium