An update of the zeromq package has been released.

Two security issues have been detected in zeromq3.

CVE-2021-20234

Memory leak in client induced by malicious server(s) without CURVE/ZAP.

From issue description [1]. When a pipe processes a delimiter and is already not in active state but still has an unfinished message, the message is leaked.

CVE-2021-20235

Heap overflow when receiving malformed ZMTP v1 packets.

From issue description [2]. The static allocator was implemented to shrink its recorded size similarly to the shared allocator. But it does not need to, and it should not, because unlike the shared one the static allocator always uses a static buffer, with a size defined by the ZMQ_IN_BATCH_SIZE socket option (default 8192), so changing the size opens the library to heap overflows. The static allocator is used only with ZMTP v1 peers.

[1] https://github.com/zeromq/libzmq/security/advisories/GHSA-wfr2-29gj-5w 87 [2] https://github.com/zeromq/libzmq/security/advisories/GHSA-fc3w-qxf5-7h p6

For Debian 9 stretch, these problems have been fixed in version 4.2.1-4+deb9u4.

We recommend that you upgrade your zeromq3 packages.

For the detailed security status of zeromq3 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/zeromq3

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

zeromq3でセキュリティに関連する2つの問題が検出されました。

CVE-2021-20234

CURVE/ZAPのない悪意のあるサーバーによって引き起こされる、クライアントのメモリリーク。

問題の説明[1]に基づく。パイプがデリミタを処理し、まだアクティブ状態になっていないが、未完成のメッセージがある場合、メッセージが漏洩します。

CVE-2021-20235

無効な形式のZMTP v1パケットを受信する際のヒープオーバーフロー。

問題の説明[2]に基づく。静的アロケーターは、共有アロケーターと同様に、記録されたサイズを縮小するために実装されました。ただし、共有アロケータとは異なり、静的アロケーターは、ZMQ_IN_BATCH_SIZEソケットオプションで定義されたサイズ（デフォルト8192）の静的バッファを常に使用する必要はなく、使用するべきではありません。そのため、サイズを変更するとライブラリが開いてヒープオーバーフローが発生する可能性があります。静的アロケーターは、ZMTP v1ピアでのみ使用されます。

[1] https://github.com/zeromq/libzmq/security/advisories/GHSA-wfr2-29gj-5w 87 [2] https://github.com/zeromq/libzmq/security/advisories/GHSA-fc3w-qxf5-7h p6

Debian 9 'Stretch'では、これらの問題はバージョン4.2.1-4+deb9u4で修正されています。

お使いのzeromq3パッケージをアップグレードすることを推奨します。

zeromq3の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/zeromq3

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM ホストには、USN-4920-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.0.9 より前の ZeroMQ libzmq、4.1.7 より前の 4.1.x、4.3.2 より前の 4.2.x では、libzmq アプリケーションに接続するリモートの認証されていないクライアントが、CURVE 暗号化 / 認証を有効にしてリスニングしているソケットで実行すると、ライブラリでのバッファオーバーフローにより、スタックオーバーフローを引き起こし、任意のデータでスタックを上書きする可能性があります。既知の緩和策がないため、上記の構成でパブリックサーバーを実行しているユーザーには、早急にアップグレードすることを強く推奨します。(CVE-2019-13132)

  - バージョン 4.3.3より前の ZeroMQ に、サービス拒否の脆弱性があります。CURVE/ZAP が有効であっても、TCPトランスポートパブリックエンドポイントを使用するユーザーが影響を受けます。raw TCPソケットが開かれ、CURVE/ZAPで完全に構成されたエンドポイントに接続された場合、正当なクライアントはメッセージを交換できません。ハンドシェイクが正常に完了し、メッセージがライブラリに配信されますが、サーバーアプリケーションがメッセージを受信しません。これはバージョン 4.3.3 でパッチが適用されています。(CVE-2020-15166)

  - src/pipe.cpp 内の 4.3.3 より前のバージョンの ZeroMQ クライアントに、制御されていないリソース消費 (メモリ漏洩) の欠陥が見つかりました。この問題により、複数の悪意のあるサーバーまたは危険にさらされているサーバーに接続するクライアントがクラッシュします。この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-20234)

  - src/decoder_allocators.hpp の 4.3.3より前のバージョンの zeromq サーバーに欠陥があります。デコーダー静的アロケーターのサイズが変更される可能性がありますが、静的バッファであるため、バッファは同じままです。細工されたリクエストを zeromq サーバーに送信する認証されていないリモートの攻撃者が、CURVE/ZAP 認証が有効になっていない場合、任意のデータのバッファオーバーフロー WRITE をトリガーする可能性があります。この欠陥による最大の影響は、アプリケーションの可能性、データの整合性、および機密性です。(CVE-2021-20235)

  - 4.3.3 より前のバージョンの ZeroMQ の src/xpub.cpprc/pipe.cpp で、制御されていないリソース消費 (メモリ漏洩) の欠陥が見つかりました。サーバーで CURVE/ZAP 認証が無効になっている場合、この欠陥により、認証されていないリモートの攻撃者が、メモリを過剰に消費するよう細工された PUB メッセージを送信して、サービス拒否を引き起こす可能性があります。
    この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-20237)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

在 zeromq3 中偵測到兩個安全性問題。

CVE-2021-20234

由不含 CURVE/ZAP 的惡意伺服器在用戶端中引發的記憶體洩漏。

來自問題描述 [1]。當管道處理分隔符號時以及已不在作用中狀態但仍有未完成的訊息時，訊息會遭到洩漏。

CVE-2021-20235

接收格式錯誤的 ZMTP v1 封包時會發生堆積溢位。

來自問題描述 [1]。已實作靜態配置器，以便將其記錄的大小縮小至與共用配置器類似。但不需要也不應該這樣操作，因為與共用配置器不同，靜態配置器一律使用大小由 ZMQ_IN_BATCH_SIZE 通訊端選項定義的靜態緩衝區，因此變更大小會造成庫發生堆積溢位。靜態配置器僅用於 ZMTP v1 對等節點。

[1] https://github.com/zeromq/libzmq/security/advisories/GHSA-wfr2-29gj-5w 87 [2] https://github.com/zeromq/libzmq/security/advisories/GHSA-fc3w-qxf5-7h p6

針對 Debian 9 Stretch，已在 4.2.1-4+deb9u4 版本中修正這些問題。

我們建議您升級 zeromq3 套件。

如需有關 zeromq3 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/zeromq3

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 zeromq3 中检测到两个安全问题。

CVE-2021-20234

由无 CURVE/ZAP 的恶意服务器引起的客户端内存泄漏。

来自问题说明 [1]。当管道处理分隔符且已经不在活动状态但仍有未完成的消息时，该消息将被泄露。

CVE-2021-20235

接收畸形 ZMTP v1 数据包时出现堆溢出。

来自问题说明 [2]。已实施静态分配器，以类似于共享分配器缩小其记录的大小。但它不需要，也不应该，因为与共享分配器不同的是，静态分配器始终使用大小由 ZMQ_IN_BATCH_SIZE 套接字选项定义的静态缓冲区（默认为 8192），因此更改大小会使库发生堆溢出。静态分配器仅可与 ZMTP v1 对等机配合使用。

[1] https://github.com/zeromq/libzmq/security/advisories/GHSA-wfr2-29gj-5w 87 [2] https://github.com/zeromq/libzmq/security/advisories/GHSA-fc3w-qxf5-7h p6

对于 Debian 9 Stretch，已在版本 4.2.1-4+deb9u4 中修复这些问题。

我们建议您升级 zeromq3 程序包。

如需了解 zeromq3 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/zeromq3

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

遠端 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM 主機上安裝的多個套件受到 USN-4920-1 公告中提及的多個弱點影響 。

  - 在 ZeroMQ libzmq 4.0.9 之前的版本、4.1.7 之前的 4.1.x 版以及 4.3.2 之前的 4.2.x 版中，程式庫中存在緩衝區溢位弱點，連線至 libzmq 應用程式的未經驗證遠端用戶端若在啟用 CURVE 加密/驗證的情況下執行通訊端，則可能會造成堆疊溢位和以任意資料覆寫堆疊。強烈建議以上述組態執行公用伺服器的使用者盡快升級，因為目前尚無已知的緩解措施。(CVE-2019-13132)

  - 在 4.3.3 版之前的 ZeroMQ 中，有一個拒絕服務弱點。具有 TCP 傳輸公開端點的使用者，即使已啟用 CURVE/ZAP，也會受到影響。如果開啟原始 TCP 通訊端並連線至以 CURVE/ZAP 完整設定的端點，合法用戶端將無法交換任何訊息。交握成功完成，且訊息已傳送至程式庫，但伺服器應用程式從未收到這些訊息。此問題已在 4.3.3 版中修正。(CVE-2020-15166)

  - 在 4.3.3 之前版本的 ZeroMQ 用戶端中，src/pipe.cpp 有一個不受控制的資源消耗 (記憶體洩漏) 瑕疵。此問題會造成連線至多個惡意或遭入侵伺服器的用戶端當機。此弱點對系統可用性威脅最大。(CVE-2021-20234)

  - 在 4.3.3 之前版本的 src/decoder_allocators.hpp 中，zeromq 伺服器上有一個缺陷。解碼器靜態配置器可變更其大小，但緩衝區將保持不變，因為它是靜態緩衝區。如果未啟用 CURVE/ZAP 驗證，未經驗證的遠端攻擊者若將特製要求傳送至 zeromq 伺服器，便可觸發任意資料的緩衝區溢位寫入。此缺陷對應用程式可用性、資料完整性和機密性影響最大。(CVE-2021-20235)

  - 在 4.3.3 之前版本的 ZeroMQ 中，src/xpub.cpp 有一個不受控制的資源消耗 (記憶體洩漏) 瑕疵。此瑕疵允許未經驗證的遠端攻擊者傳送特製的 PUB 訊息，若在伺服器上停用 CURVE/ZAP 驗證，則會消耗過多記憶體，進而造成拒絕服務。
    此弱點對系統可用性威脅最大。(CVE-2021-20237)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM 主机上安装的多个程序包受到 USN-4920-1 公告中提及的多个漏洞影响。

  - 在 4.0.9 之前的 ZeroMQ libzmq、4.1.7 之前的 4.1.x 和 4.3.2 之前的 4.2.x 中，连接到 libzmq 应用程序的未经身份验证的远程客户端，在启用了 CURVE 加密/身份验证的情况下运行套接字监听，就可能会导致堆栈溢出和以任意数据覆盖堆栈（由于库中的缓冲区溢出）。强烈建议运行采用上述配置的公共服务器的用户尽快升级，因为没有已知的缓解措施。(CVE-2019-13132)

  - ZeroMQ 4.3.3 的之前版本中存在拒绝服务漏洞。即使启用了 CURVE/ZAP，具有 TCP 传输公共端点的用户也会受到影响。如果打开了原始 TCP 套接字并将其连接到完全采用 CURVE/ZAP 配置的端点，合法客户端将无法交换任何消息。握手成功完成，消息已送达库，但服务器应用程序从未收到这些消息。此问题已在版本 4.3.3 中得到修补。(CVE-2020-15166)

  - 在 src/pipe.cpp 4.3.3 之前版本的 ZeroMQ 客户端中发现了一个不受控制的资源消耗（内存泄漏）缺陷。此问题会导致连接到多个恶意或遭破坏服务器的客户端崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-20234)

  - 4.3.3 之前版本的 src/decoder_allocators.hpp 的 zeromq 服务器中存在一个缺陷。解码器静态分配器可更改其大小，但缓冲区将保持不变，因为它是静态缓冲区。如果未启用 CURVE/ZAP 认证，未经身份验证的远程攻击者便可通过向 zeromq 服务器发送构建的请求来触发任意数据的缓冲区溢出写入操作。受此缺陷影响最大的是应用程序的机密性、完整性和可用性。(CVE-2021-20235)

  - 在 4.3.3 之前版本的 ZeroMQ 的 src/xpub.cpp 客户端中发现了一个不受控制的资源消耗（内存泄漏）缺陷。如果已在服务器上禁用 CURVE/ZAP 身份验证，此缺陷便可允许未经身份验证的远程攻击者发送精心设计的 PUB 消息，这些消息会消耗过多内存，从而导致拒绝服务。
    此漏洞最大的威胁在于系统可用性。(CVE-2021-20237)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4920-1 advisory.

  - In ZeroMQ libzmq before 4.0.9, 4.1.x before 4.1.7, and 4.2.x before 4.3.2, a remote, unauthenticated     client connecting to a libzmq application, running with a socket listening with CURVE     encryption/authentication enabled, may cause a stack overflow and overwrite the stack with arbitrary data,     due to a buffer overflow in the library. Users running public servers with the above configuration are     highly encouraged to upgrade as soon as possible, as there are no known mitigations. (CVE-2019-13132)

  - In ZeroMQ before version 4.3.3, there is a denial-of-service vulnerability. Users with TCP transport     public endpoints, even with CURVE/ZAP enabled, are impacted. If a raw TCP socket is opened and connected     to an endpoint that is fully configured with CURVE/ZAP, legitimate clients will not be able to exchange     any message. Handshakes complete successfully, and messages are delivered to the library, but the server     application never receives them. This is patched in version 4.3.3. (CVE-2020-15166)

  - An uncontrolled resource consumption (memory leak) flaw was found in the ZeroMQ client in versions before     4.3.3 in src/pipe.cpp. This issue causes a client that connects to multiple malicious or compromised     servers to crash. The highest threat from this vulnerability is to system availability. (CVE-2021-20234)

  - There's a flaw in the zeromq server in versions before 4.3.3 in src/decoder_allocators.hpp. The decoder     static allocator could have its sized changed, but the buffer would remain the same as it is a static     buffer. A remote, unauthenticated attacker who sends a crafted request to the zeromq server could trigger     a buffer overflow WRITE of arbitrary data if CURVE/ZAP authentication is not enabled. The greatest impact     of this flaw is to application availability, data integrity, and confidentiality. (CVE-2021-20235)

  - An uncontrolled resource consumption (memory leak) flaw was found in ZeroMQ's src/xpub.cpp in versions     before 4.3.3. This flaw allows a remote unauthenticated attacker to send crafted PUB messages that consume     excessive memory if the CURVE/ZAP authentication is disabled on the server, causing a denial of service.
    The highest threat from this vulnerability is to system availability. (CVE-2021-20237)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
150922	Photon OS 1.0: Zeromq PHSA-2021-1.0-0403	Nessus	PhotonOS Local Security Checks	2021/6/21	2023/12/12	critical
147685	Debian DLA-2588-1 : zeromq3 security update	Nessus	Debian Local Security Checks	2021/3/11	2024/1/12	high
147685	DebianDLA-2588-1：zeromq3のセキュリティ更新	Nessus	Debian Local Security Checks	2021/3/11	2024/1/12	high
183116	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM : ZeroMQ の脆弱性 (USN-4920-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	critical
147685	Debian DLA-2588-1：zeromq3 安全性更新	Nessus	Debian Local Security Checks	2021/3/11	2024/1/12	high
147685	Debian DLA-2588-1：zeromq3 安全更新	Nessus	Debian Local Security Checks	2021/3/11	2024/1/12	high
183116	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM：ZeroMQ 弱點 (USN-4920-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	critical
183116	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM：ZeroMQ 漏洞 (USN-4920-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	critical
150915	Photon OS 3.0: Zeromq PHSA-2021-3.0-0253	Nessus	PhotonOS Local Security Checks	2021/6/21	2023/12/12	critical
150925	Photon OS 2.0: Zeromq PHSA-2021-2.0-0357	Nessus	PhotonOS Local Security Checks	2021/6/21	2023/12/12	critical
183116	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM : ZeroMQ vulnerabilities (USN-4920-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	critical

検出

プラグインの検索

critical

high

high

critical

high

high

critical

critical

critical

critical

critical