zeromq用のこの更新プログラムでは、以下の問題が修正されています：

  - CVE-2020-15166：認証されていないクライアントがサービス拒否を引き起こす可能性を修正しました（bsc#1176116）。

  - 無効な形式のZMTP v1パケットを受信する際のヒープオーバーフローを修正しました（bsc#1176256）。

  - CURVE/ZAPがない場合に、悪意のあるサーバーによって引き起こされるクライアントのメモリリークを修正しました（bsc#1176257）。

  - メタデータ付きのPUBメッセージを処理する際のメモリリークを修正しました（bsc#1176259）。

  - PUB/XPUBサブスクリプションストアのスタックオーバーフローを修正しました（bsc#1176258）。

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

軽量メッセージングカーネルライブラリであるZeroMQが、ハンドシェイクが完了する前に接続ピアを適切に処理していないことが判明しました。libzmqライブラリを使用するアプリケーションに接続し、CURVE暗号化/認証を使用してリスニングするソケットを有効にして実行している認証されていないリモートクライアントは、この欠陥を悪用してサービス拒否を引き起こし、認証済みで暗号化されたクライアントに影響を及ぼす可能性があります。

Debian 9「Stretch」では、この問題はバージョン4.2.1-4+deb9u3で修正されています。

お使いのzeromq3パッケージをアップグレードすることを推奨します。

zeromq3の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/zeromq3

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Google's oss-fuzz プロジェクトによる報告：

認証されていないクライアントによる、CURVE/ZAPで保護されたサーバーでのサービス拒否。raw TCPソケットが開かれ、CURVE/ZAPで完全に構成されたエンドポイントに接続された場合、正当なクライアントはメッセージを交換できません。ハンドシェイクが正常に完了し、メッセージがライブラリに配信されますが、サーバーアプリケーションがメッセージを受信しません。

#1876738および#1876689に対する修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

zeromq用のこの更新プログラムでは、以下の問題が修正されています：

CVE-2020-15166：認証されていないクライアントがサービス拒否を引き起こす可能性を修正しました（bsc#1176116）。

無効な形式のZMTP v1パケットを受信する際のヒープオーバーフローを修正しました（bsc#1176256）。

CURVE/ZAPのない悪意のあるサーバーによって引き起こされる、クライアントのメモリリークを修正しました（bsc#1176257）

タデータ付きのPUBメッセージを処理する際のメモリリークを修正しました（bsc#1176259）

PUB/XPUBサブスクリプションストアのスタックオーバーフローを修正しました（bsc#1176258）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

軽量メッセージングカーネルライブラリであるZeroMQが、ハンドシェイクが完了する前に接続ピアを適切に処理していないことが判明しました。libzmqライブラリを使用するアプリケーションに接続し、CURVE暗号化/認証を使用してリスニングするソケットを有効にして実行している認証されていないリモートクライアントは、この欠陥を悪用してサービス拒否を引き起こし、認証済みで暗号化されたクライアントに影響を及ぼす可能性があります。

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM ホストには、USN-4920-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.0.9 より前の ZeroMQ libzmq、4.1.7 より前の 4.1.x、4.3.2 より前の 4.2.x では、libzmq アプリケーションに接続するリモートの認証されていないクライアントが、CURVE 暗号化 / 認証を有効にしてリスニングしているソケットで実行すると、ライブラリでのバッファオーバーフローにより、スタックオーバーフローを引き起こし、任意のデータでスタックを上書きする可能性があります。既知の緩和策がないため、上記の構成でパブリックサーバーを実行しているユーザーには、早急にアップグレードすることを強く推奨します。(CVE-2019-13132)

  - バージョン 4.3.3より前の ZeroMQ に、サービス拒否の脆弱性があります。CURVE/ZAP が有効であっても、TCPトランスポートパブリックエンドポイントを使用するユーザーが影響を受けます。raw TCPソケットが開かれ、CURVE/ZAPで完全に構成されたエンドポイントに接続された場合、正当なクライアントはメッセージを交換できません。ハンドシェイクが正常に完了し、メッセージがライブラリに配信されますが、サーバーアプリケーションがメッセージを受信しません。これはバージョン 4.3.3 でパッチが適用されています。(CVE-2020-15166)

  - src/pipe.cpp 内の 4.3.3 より前のバージョンの ZeroMQ クライアントに、制御されていないリソース消費 (メモリ漏洩) の欠陥が見つかりました。この問題により、複数の悪意のあるサーバーまたは危険にさらされているサーバーに接続するクライアントがクラッシュします。この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-20234)

  - src/decoder_allocators.hpp の 4.3.3より前のバージョンの zeromq サーバーに欠陥があります。デコーダー静的アロケーターのサイズが変更される可能性がありますが、静的バッファであるため、バッファは同じままです。細工されたリクエストを zeromq サーバーに送信する認証されていないリモートの攻撃者が、CURVE/ZAP 認証が有効になっていない場合、任意のデータのバッファオーバーフロー WRITE をトリガーする可能性があります。この欠陥による最大の影響は、アプリケーションの可能性、データの整合性、および機密性です。(CVE-2021-20235)

  - 4.3.3 より前のバージョンの ZeroMQ の src/xpub.cpprc/pipe.cpp で、制御されていないリソース消費 (メモリ漏洩) の欠陥が見つかりました。サーバーで CURVE/ZAP 認証が無効になっている場合、この欠陥により、認証されていないリモートの攻撃者が、メモリを過剰に消費するよう細工された PUB メッセージを送信して、サービス拒否を引き起こす可能性があります。
    この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-20237)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142950	openSUSEセキュリティ更新プログラム：zeromq（openSUSE-2020-1910）	Nessus	SuSE Local Security Checks	2020/11/17	2024/2/8	high
142861	Debian DLA-2443-1: zeromq3セキュリティ更新	Nessus	Debian Local Security Checks	2020/11/12	2020/11/20	high
149973	FreeBSD：libzmq4 -- サービス拒否（21ec4428-bdaa-11eb-a04e-641c67a117d8）	Nessus	FreeBSD Local Security Checks	2021/5/26	2023/12/28	high
140759	Fedora 32：zeromq（2020-08402f4071）	Nessus	Fedora Local Security Checks	2020/9/24	2024/2/20	high
142925	openSUSEセキュリティ更新プログラム：zeromq（openSUSE-2020-1907）	Nessus	SuSE Local Security Checks	2020/11/17	2024/2/8	high
143658	SUSE SLED15 / SLES15セキュリティ更新プログラム：zeromq（SUSE-SU-2020:3264-1）	Nessus	SuSE Local Security Checks	2020/12/9	2024/2/6	high
140302	Debian DSA-4761-1: zeromq3 - セキュリティ更新	Nessus	Debian Local Security Checks	2020/9/8	2024/2/21	high
183116	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM : ZeroMQ の脆弱性 (USN-4920-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2024/8/27	critical

検出

プラグインの検索

high

high

high

high

high

high

high

critical