リモートの Debian 11 ホストには、dla-4019 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4019-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : busybox バージョン : 1:1.30.1-6+deb11u1 CVE ID : CVE-2021-28831 CVE-2021-42374 CVE-2021-42378 CVE-2021-42379 CVE-2021-42380 CVE-2021-42381 CVE-2021-42382 CVE-2021-42384 CVE-2021-42385 CVE-2021-42386 CVE-2022-48174 CVE-2023-42364 CVE-2023-42365 Debian バグ : 985674 999567 1059049 1059051 1059052

    さまざまな Unix ユーティリティを含む軽量の単一実行ファイルである BusyBox に複数の脆弱性が見つかりました。これにより、攻撃者が、無効な形式の gzip データ、細工された LZMA 入力、または細工された awk パターンを通じて、サービス拒否、情報漏洩、または任意のコード実行を引き起こす可能性があります。

    CVE-2021-28831

        1.32.1 までの BusyBox の decompress_gunzip.c は、huft_build 結果ポインターでエラービットを不適切に処理します。これにより、不正な gzip データを介して、無効な解放またはセグメンテーション違反が引き起こされます。

    CVE-2021-42374

        Busybox の unlzma アプレットでの領域外ヒープ読み取りにより、細工された LZMA 圧縮入力が展開されるときに、情報漏洩およびサービス拒否が発生します。これは、任意のアプレット/フォーマットによって引き起こされる可能性があります

    CVE-2021-42378

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、getvar_i 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42379

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、next_input_file 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42380

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、clrvar 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42381

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、hash_init 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42382

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、getvar_s 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42384

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、handle_special 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42385

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、evaluate 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2021-42386

        Busybox の awk アプレットでのメモリ解放後使用 (Use After Free) により、nvalloc 関数で細工された awk パターンを処理する際に、サービス拒否やコード実行が発生する可能性があります

    CVE-2022-48174

        1.35 より前の busybox の ash.c:6030 にスタックオーバーフローの脆弱性がありました。Internet of Vehicles の環境において、この脆弱性はコマンドから任意のコード実行により実行される可能性があります。

    CVE-2023-42364

        BusyBox v.1.36.1 のメモリ解放後使用 (Use After Free) の脆弱性により、攻撃者が、awk.c 評価関数の細工された awk パターンを介してサービス拒否を引き起こす可能性があります。

    CVE-2023-42365

        BusyBox v.1.36.1 で awk.c copyvar 関数の細工された awk パターンを介したメモリ解放後使用 (Use After Free) の脆弱性が発見されました。

    Debian 11 bullseye においては、これらの問題はバージョン 1:1.30.1-6+deb11u1 で修正されました。

    お使いの busybox パッケージをアップグレードすることを推奨します。

    busybox の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/busybox

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - BusyBox v.1.36.1 の use-after-free 脆弱性により、攻撃者が awk.c 評価関数の細工された awk パターンを介してサービス拒否を引き起こす可能性があります。 （CVE-2023-42364）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 15 ホストには、SUSE-SU-2025:03271-2 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン に更新しました 1.37.0 jsc#PED-13039

      - CVE-2023-42363xfuncs_printf.c の xasprintf 関数にある use-after-free の脆弱性を修正しましたbsc#1217580
      - CVE-2023-42364awk.c の評価関数での use-after-free を修正しましたbsc#1217584
      - CVE-2023-42365awk.c copyvar 関数にある use-after-free を修正しましたbsc#1217585

    その他の修正:

      - Dockerfile によるファイルリストの生成を修正
      - busybox config への変更をキャッチするために、コンテナから busybox.links のコピーを追加します
      - 完全に起動されたシステムでの偶発的な使用を回避するため、停止、再起動、シャットダウンのコマンドに対するリンクを作成するブラックリストを作成しますbsc#1243201
      - getfattr アプレットを attr ファイルリストに追加します
      - busybox-udhcpc は udhcp と競合します。
      - udhcpc 用の新たなサブパッケージを追加します
      - zgrep実際の grep のみがサポートするため、ラベルオプションを設定しませんbsc#1215943
      - パッケージが分割された coreutils-systemd の競合を追加します
      - buildrequiring all non-busybox utils の代わりに filelists をチェックします
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798
      - サブパッケージ「hexedit」を作成します [bsc#1203399]
      - サブパッケージ「sha3sum」を作成します [bsc#1203397]
      - update-alternatives サポートをドロップします
      - プロバイダー smtp_daemon を busybox-sendmail に追加します
      - コンフリクトを追加mawk to busybox-gawk
      - /bin ではなく /usr/bin を指すように mkdir パスを修正します
      - busybox.install にプレースホルダー変数を追加し、アプレットロジックを無視します
      - halt、poweroff、reboot のコマンドを有効化bsc#1243201
      - udhcpc を完全に有効化し、このツールは特別な構成を必要とし、標準装備では動作しないことを文書化します [bsc#1217883]
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:03205-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン に更新しました 1.37.0 jsc#PED-13039
      - CVE-2023-42363xfuncs_printf.c の xasprintf 関数にある use-after-free の脆弱性を修正しましたbsc#1217580
      - CVE-2023-42364awk.c の評価関数での use-after-free を修正しましたbsc#1217584
      - CVE-2023-42365awk.c copyvar 関数にある use-after-free を修正しましたbsc#1217585

    その他の修正:
      - Dockerfile によるファイルリストの生成を修正
      - busybox config への変更をキャッチするために、コンテナから busybox.links のコピーを追加します
      - 完全に起動されたシステムでの偶発的な使用を回避するため、停止、再起動、シャットダウンのコマンドに対するリンクを作成するブラックリストを作成しますbsc#1243201
      - getfattr アプレットを attr ファイルリストに追加します
      - busybox-udhcpc は udhcp と競合します。
      - udhcpc 用の新たなサブパッケージを追加します
      - zgrep実際の grep のみがサポートするため、ラベルオプションを設定しませんbsc#1215943
      - パッケージが分割された coreutils-systemd の競合を追加します
      - buildrequiring all non-busybox utils の代わりに filelists をチェックします
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798
      - サブパッケージ「hexedit」を作成します [bsc#1203399]
      - サブパッケージ「sha3sum」を作成します [bsc#1203397]
      - update-alternatives サポートをドロップします
      - プロバイダー smtp_daemon を busybox-sendmail に追加します
      - コンフリクトを追加mawk to busybox-gawk
      - /bin ではなく /usr/bin を指すように mkdir パスを修正します
      - busybox.install にプレースホルダー変数を追加し、アプレットロジックを無視します
      - halt、poweroff、reboot のコマンドを有効化bsc#1243201
      - udhcpc を完全に有効化し、このツールは特別な構成を必要とし、標準装備では動作しないことを文書化します [bsc#1217883]
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:03271-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン に更新しました 1.37.0 jsc#PED-13039

      - CVE-2023-42363xfuncs_printf.c の xasprintf 関数にある use-after-free の脆弱性を修正しましたbsc#1217580
      - CVE-2023-42364awk.c の評価関数での use-after-free を修正しましたbsc#1217584
      - CVE-2023-42365awk.c copyvar 関数にある use-after-free を修正しましたbsc#1217585

    その他の修正:

      - Dockerfile によるファイルリストの生成を修正
      - busybox config への変更をキャッチするために、コンテナから busybox.links のコピーを追加します
      - 完全に起動されたシステムでの偶発的な使用を回避するため、停止、再起動、シャットダウンのコマンドに対するリンクを作成するブラックリストを作成しますbsc#1243201
      - getfattr アプレットを attr ファイルリストに追加します
      - busybox-udhcpc は udhcp と競合します。
      - udhcpc 用の新たなサブパッケージを追加します
      - zgrep実際の grep のみがサポートするため、ラベルオプションを設定しませんbsc#1215943
      - パッケージが分割された coreutils-systemd の競合を追加します
      - buildrequiring all non-busybox utils の代わりに filelists をチェックします
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798
      - サブパッケージ「hexedit」を作成します [bsc#1203399]
      - サブパッケージ「sha3sum」を作成します [bsc#1203397]
      - update-alternatives サポートをドロップします
      - プロバイダー smtp_daemon を busybox-sendmail に追加します
      - コンフリクトを追加mawk to busybox-gawk
      - /bin ではなく /usr/bin を指すように mkdir パスを修正します
      - busybox.install にプレースホルダー変数を追加し、アプレットロジックを無視します
      - halt、poweroff、reboot のコマンドを有効化bsc#1243201
      - udhcpc を完全に有効化し、このツールは特別な構成を必要とし、標準装備では動作しないことを文書化します [bsc#1217883]
      - 移行的 %usrmerged マクロを通常のバージョンチェックで置換bsc#1206798

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-6961-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    特定の算術演算を実行するときに、BusyBox がユーザー入力を適切に検証しないことがわかりました。ユーザーまたは自動化システムが誘導され、特別に細工されたファイルを処理した場合、攻撃者がこの問題を悪用してサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。
    (CVE-2022-48174)

    特定の awk 式を評価するとき、BusyBox がメモリを不適切に管理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS のみです。(CVE-2023-42363、CVE-2023-42364、CVE-2023-42365)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
214387	Debian dla-4019 : busybox - セキュリティ更新	Nessus	Debian Local Security Checks	2025/1/19	2025/1/19	critical
226697	Linux Distros のパッチ未適用の脆弱性: CVE-2023-42364	Nessus	Misc.	2025/3/5	2025/8/26	medium
265772	openSUSE 15 セキュリティ更新busybox、busybox-linksSUSE-SU-2025:03271-2	Nessus	SuSE Local Security Checks	2025/9/24	2025/9/24	medium
264673	SUSE SLED15 / SLES15 セキュリティ更新busybox、busybox-linksSUSE-SU-2025:03205-1]	Nessus	SuSE Local Security Checks	2025/9/13	2025/9/13	medium
265420	SUSE SLED15 / SLES15 セキュリティ更新busybox、busybox-linksSUSE-SU-2025:03271-1]	Nessus	SuSE Local Security Checks	2025/9/19	2025/9/24	medium
205548	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : BusyBox の脆弱性 (USN-6961-1)	Nessus	Ubuntu Local Security Checks	2024/8/14	2025/9/3	critical

検出

プラグインの検索

critical

medium

medium

medium

medium

critical