このバージョン8.39へbsc#972127の pcreの更新では、いくつかの問題が修正されます。

pcreを頻繁に使用する場合は、これが新しいバージョンへの更新であることにご注意ください。ご利用のソフトウェアが更新済みバージョンで動作することを確認してください。

このバージョンでは、信頼できない入力を正規表現またはその一部として受け入れる場合に、ライブラリを使用するpcreおよびアプリケーションに影響する多数の脆弱性が修正されました。リモート攻撃者が、アプリケーションのクラッシュ、情報漏洩、または任意のコードの実行を引き起こす可能性がありました。これらのセキュリティの問題が修正されました：

  - CVE-2014-8964：PCREでのヒープベースのバッファオーバーフローにより、リモート攻撃者がサービス拒否（クラッシュ）を引き起こしたり、ゼロの繰り返しを可能にするアサーションに関連して、細工された正規表現によってその他の詳細不明な影響を引き起こしたりする可能性があります（bsc#906574）☆

  - CVE-2015-2325：compile_branch()でのヒープバッファオーバーフロー（bsc#924960）。

  - CVE-2015-3210：pcre_compile2() / compile_regex()でのヒープバッファオーバーフロー（bsc#933288）

  - CVE-2015-3217：match（）のPCREライブラリ呼び出しスタックオーバーフローの脆弱性（bsc#933878）

  - CVE-2015-5073：find_fixedlength() でのライブラリヒープオーバーフローの脆弱性（bsc#936227）

  - bsc#942865：compile_regex()でのヒープオーバーフロー

  - CVE-2015-8380：pcre_compile.cにあるpcre_exec関数は、//パターンと\01文字列を適切に処理しません。これにより、リモート攻撃者はサービス拒否（ヒープベースのバッファオーバーフロー）を引き起こすことができ、細工された正規表現を使用してその他の詳細不明な影響を及ぼす可能性があります。これは、Konquerorが遭遇するJavaScript RegExpオブジェクトによって実証されています（bsc#957566）。

  - CVE-2015-2327：PCREは特定の参照を不適切に処理します。これにより、リモート攻撃者が細工された正規表現を使用して、サービス拒否を引き起こしたり、特定されない他の影響を及ぼしたりすることが可能です。これは Konquerorにより確認できるJavaScript RegExpオブジェクトによって示されています（bsc#957567 ）。

  - bsc#957598：さまざまなセキュリティ問題 

  - CVE-2015-8381：compile_regex()でのヒープオーバーフロー（bsc#957598）。

  - CVE-2015-8382：正規表現の初期化されていないポインター情報漏洩の脆弱性（ZDI-CAN-2547）（bsc#957598）。

  - CVE-2015-8383：反復する条件付きグループにより引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8384：特定のグループ内の名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8385：特定のグループへの名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8386：後読みアサーションによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8387：サブルーチン呼び出しでの整数オーバーフロー（bsc#957598）。

  - CVE-2015-8388：対応する括弧がない閉じ括弧を持つ特定のパターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8389：特定パターン処理時のJITコンパイラでの無限再帰（bsc#957598）。

  - CVE-2015-8390：特定パターン処理時の初期化されていないメモリからの読み取り（bsc#957598）。

  - CVE-2015-8391：一部の異常なパターンにより、pcre_compile()が非常に長い時間にわたり実行されます（bsc#957598）。

  - CVE-2015-8392：複製された名前付きグループを持つ特定パターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8393：細工されたバイナリに対してpcgrep-qを実行する際の情報漏洩（bsc#957598）。

  - CVE-2015-8394：特定の条件のチェックが欠落しているために発生する整数オーバーフロー（bsc#957598）。

  - CVE-2015-8395：特定の参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-2328：PCREは/((?(R)a|(?1)))+/パターンと、特定の再帰を持つ関連パターン☆を不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（セグメンテーション違反）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#957600 ）。

  - CVE-2016-1283：PCREのpcre_compile.cにある pcre_compile2 関数は、名前付きサブグループを持つ特定パターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（ヒープベースのバッファオーバーフローを引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#960837）。

  - CVE-2016-3191：pcre_compile.cとpcre2_compile.cにあるcompile_branch関数は、（*ACCEPT）サブ文字列を含むパターンをネストされた括弧とともに不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて任意のコードを実行したり、サービス拒否（スタックベースのバッファオーバーフロー）を引き起こしたりする可能性があります。（bsc#971741）

以下のセキュリティ以外の問題が、修正されました。

  - JITコンパイラの改善

  - パフォーマンス向上

  - UnicodeデータテーブルUnicode 7.0.0に更新されました。

This update was imported from the SUSE: SLE-12：Update update project.

このリリースでは、CVE-2015-8380（ovector にサイズ 1 がある場合の pcre_exec() のヒープベースのバッファオーバーフロー）が修正されます。---- このリリースでは、長い (*MARK) または (*THEN) 名を持つ式をコンパイルしたときのクラッシュが修正されます。また、UCP モードが有効なときの POSIX 文字クラスの後にクラスアイテムの単一の ASCII 文字が続く場合のコンパイルも修正されます。また、UCP モードの [:punct:] に対する 128-255 の範囲の不一致文字も修正されます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

PCRE が特定の正規表現を不適切に処理していることが判明しました。リモートの攻撃者が、この問題を悪用して、PCRE を使用しているアプリケーションをクラッシュさせ、結果としてサービス拒否または任意のコードの実行を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201607-02（libpcre：複数の脆弱性）で説明されている脆弱性の影響を受けます

libpcre に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

攻撃者が、任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

このバージョン8.39（bsc#972127）への pcreの更新では、いくつかの問題が修正されます。pcreを頻繁に使用する場合は、これが新しいバージョンへの更新であることにご注意ください。ご利用のソフトウェアが更新済みバージョンで動作することを確認してください。このバージョンでは、信頼できない入力を正規表現またはその一部として受け入れる場合に、ライブラリを使用するpcreおよびアプリケーションに影響する多数の脆弱性が修正されました。リモート攻撃者が、アプリケーションのクラッシュ、情報漏洩、または任意のコードの実行を引き起こす可能性がありました。これらのセキュリティの問題が修正されました：

  - CVE-2014-8964：PCREでのヒープベースのバッファオーバーフローにより、細工された正規表現を通じて、サービス拒否（クラッシュ）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です。これはリモート攻撃者がゼロの繰り返しを可能にするアサーションに関連しています（bsc#906574）。

  - CVE-2015-2325：compile_branch()でのヒープバッファオーバーフロー（bsc#924960）。

  - CVE-2015-3210：pcre_compile2() / compile_regex()でのヒープバッファオーバーフロー（bsc#933288）

  - CVE-2015-3217：match()でのPCREライブラリ呼び出しスタックオーバーフローの脆弱性（bsc#933878）。

  - CVE-2015-5073：find_fixedlength()でのライブラリヒープオーバーフローの脆弱性（bsc#936227）。

  - bsc#942865：compile_regex()でのヒープオーバーフロー

  - CVE-2015-8380：pcre_compile.cにあるpcre_exec関数は、\01文字列を持つ//パターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（ヒープベースのバッファオーバーフロー）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です。これはKonquerorにより確認できるJavaScript RegExpオブジェクトによって示されています（bsc#957566）。

  - CVE-2015-2327：PCREは内部再帰的後方参照を持つ特定のパターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（セグメンテーション違反）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です。これはKonquerorにより確認できるJavaScript RegExpオブジェクトによって示されています（bsc#957567 ）。

  - bsc#957598：さまざまなセキュリティ問題

  - CVE-2015-8381：compile_regex()でのヒープオーバーフロー（bsc#957598）。

  - CVE-2015-8382：正規表現の初期化されていないポインター情報漏洩の脆弱性（ZDI-CAN-2547）（bsc#957598）。

  - CVE-2015-8383：反復する条件付きグループにより引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8384：特定のグループ内の名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8385：特定のグループへの名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8386：後読みアサーションによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8387：サブルーチン呼び出しでの整数オーバーフロー（bsc#957598）。

  - CVE-2015-8388：対応する括弧がない閉じ括弧を持つ特定のパターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8389：特定パターン処理時のJITコンパイラでの無限再帰（bsc#957598）。

  - CVE-2015-8390：特定パターン処理時の初期化されていないメモリからの読み取り（bsc#957598）。

  - CVE-2015-8391：一部の異常なパターンにより、pcre_compile()が非常に長い時間にわたり実行されます（bsc#957598）。

  - CVE-2015-8392：複製された名前付きグループを持つ特定パターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8393：細工されたバイナリに対してpcgrep-qを実行する際の情報漏洩（bsc#957598）。

  - CVE-2015-8394：特定の条件のチェックが欠落しているために発生する整数オーバーフロー（bsc#957598）。

  - CVE-2015-8395：特定の参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-2328：PCREは、/((?(R)a|(?1)))+/パターンと、特定の再帰を持つ関連パターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（セグメンテーション違反）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#957600 ）。

  - CVE-2016-1283：PCREのpcre_compile.cにある pcre_compile2 関数は、名前付きサブグループを持つ特定パターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（ヒープベースのバッファオーバーフロー）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#960837）。

  - CVE-2016-3191：pcre_compile.cとpcre2_compile.cにあるcompile_branch関数は、（*ACCEPT）サブ文字列を含むパターンをネストされた括弧とともに不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、任意のコードを実行したり、サービス拒否（スタックベースのバッファオーバーフロー）を引き起こしたりすることが可能です。（bsc#971741）

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このバージョンでは、信頼できない入力を正規表現またはその一部として受け入れる場合に、ライブラリを使用するpcreおよびアプリケーションに影響する多数の脆弱性が修正されました。リモート攻撃者が、アプリケーションのクラッシュ、情報漏洩、または任意のコードの実行を引き起こす可能性がありました。

  - PCRE 8.39 FATE#320298 boo#972127に更新します。

  - CVE-2015-3210：pcre_compile2() / compile_regex()でのヒープバッファオーバーフロー（boo#933288）

  - CVE-2015-3217：pcre：match()でのPCREライブラリ呼び出しスタックオーバーフローの脆弱性（boo#933878）

  - CVE-2015-5073：pcre：find_fixedlength() でのライブラリヒープオーバーフローの脆弱性（boo#936227）

  - boo#942865：compile_regex()でのヒープオーバーフロー

  - CVE-2015-8380：pcre：pcre_execでのヒープオーバーフロー（boo#957566）

  - boo#957598：pcre 8.37および 8.38リリースでのさまざまなセキュリティの問題が修正されました

  - CVE-2016-1283：pcre：pcre_compile2でのヒープバッファオーバーフローによりDoSが引き起こされます（boo#960837）

  - CVE-2016-3191：pcre：深くネストした丸括弧がある（*ACCEPT）の　workspace オーバーフローを修正（boo#971741）

8.38 より前の PCRE は特定の参照を不適切に処理します。これにより、リモートの攻撃者が、細工された正規表現を通じて、サービス拒否を引き起こしたり、特定されない他の影響を及ぼしたりすることが可能です。これは Konqueror により確認できる JavaScript RegExp オブジェクトによって示されており、CVE-2015-8384 と CVE-2015-8392 に関連のある問題です。

このバージョン8.39へbsc#972127の pcreの更新では、いくつかの問題が修正されます。pcreを頻繁に使用する場合は、これが新しいバージョンへの更新であることにご注意ください。ご利用のソフトウェアが更新済みバージョンで動作することを確認してください。このバージョンでは、信頼できない入力を正規表現またはその一部として受け入れる場合に、ライブラリを使用するpcreおよびアプリケーションに影響する多数の脆弱性が修正されました。リモート攻撃者が、アプリケーションのクラッシュ、情報漏洩、または任意のコードの実行を引き起こす可能性がありました。これらのセキュリティの問題が修正されました：

  - CVE-2014-8964：PCREでのヒープベースのバッファオーバーフローにより、リモート攻撃者がサービス拒否（クラッシュ）を引き起こしたり、ゼロの繰り返しを可能にするアサーションに関連して、細工された正規表現によってその他の詳細不明な影響を引き起こしたりする可能性があります（bsc#906574）☆

  - CVE-2015-2325：compile_branch()でのヒープバッファオーバーフロー（bsc#924960）。

  - CVE-2015-3210：pcre_compile2() / compile_regex()でのヒープバッファオーバーフロー（bsc#933288）

  - CVE-2015-3217：match（）のPCREライブラリ呼び出しスタックオーバーフローの脆弱性（bsc#933878）

  - CVE-2015-5073：find_fixedlength() でのライブラリヒープオーバーフローの脆弱性（bsc#936227）

  - bsc#942865：compile_regex()でのヒープオーバーフロー

  - CVE-2015-8380：pcre_compile.cにあるpcre_exec関数は、//パターンと\01文字列を適切に処理しません。これにより、リモート攻撃者はサービス拒否（ヒープベースのバッファオーバーフロー）を引き起こすことができ、細工された正規表現を使用してその他の詳細不明な影響を及ぼす可能性があります。これは、Konquerorが遭遇するJavaScript RegExpオブジェクトによって実証されています（bsc#957566）。

  - CVE-2015-2327：PCREは特定の参照を不適切に処理します。これにより、リモート攻撃者が細工された正規表現を使用して、サービス拒否を引き起こしたり、特定されない他の影響を及ぼしたりすることが可能です。これは Konquerorにより確認できるJavaScript RegExpオブジェクトによって示されています（bsc#957567 ）。

  - bsc#957598：さまざまなセキュリティ問題

  - CVE-2015-8381：compile_regex()でのヒープオーバーフロー（bsc#957598）。

  - CVE-2015-8382：正規表現の初期化されていないポインター情報漏洩の脆弱性（ZDI-CAN-2547）（bsc#957598）。

  - CVE-2015-8383：反復する条件付きグループにより引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8384：特定のグループ内の名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8385：特定のグループへの名前による再帰的後方参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8386：後読みアサーションによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8387：サブルーチン呼び出しでの整数オーバーフロー（bsc#957598）。

  - CVE-2015-8388：対応する括弧がない閉じ括弧を持つ特定のパターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8389：特定パターン処理時のJITコンパイラでの無限再帰（bsc#957598）。

  - CVE-2015-8390：特定パターン処理時の初期化されていないメモリからの読み取り（bsc#957598）。

  - CVE-2015-8391：一部の異常なパターンにより、pcre_compile()が非常に長い時間にわたり実行されます（bsc#957598）。

  - CVE-2015-8392：複製された名前付きグループを持つ特定パターンによって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-8393：細工されたバイナリに対してpcgrep-qを実行する際の情報漏洩（bsc#957598）。

  - CVE-2015-8394：特定の条件のチェックが欠落しているために発生する整数オーバーフロー（bsc#957598）。

  - CVE-2015-8395：特定の参照によって引き起こされるバッファオーバーフロー（bsc#957598）。

  - CVE-2015-2328：PCREは/((?(R)a|(?1)))+/パターンと、特定の再帰を持つ関連パターン☆を不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（セグメンテーション違反）を引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#957600 ）。

  - CVE-2016-1283：PCREのpcre_compile.cにある pcre_compile2 関数は、名前付きサブグループを持つ特定パターンを不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて、サービス拒否（ヒープベースのバッファオーバーフローを引き起こしたり、その他の詳細不明な影響を及ぼしたりすることが可能です（bsc#960837）。

  - CVE-2016-3191：pcre_compile.cとpcre2_compile.cにあるcompile_branch関数は、（*ACCEPT）サブ文字列を含むパターンをネストされた括弧とともに不適切に処理します。これにより、リモート攻撃者が細工された正規表現を通じて任意のコードを実行したり、サービス拒否（スタックベースのバッファオーバーフロー）を引き起こしたりする可能性があります。（bsc#971741）

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
95754	openSUSEセキュリティ更新プログラム：pcre（openSUSE-2016-1448）	Nessus	SuSE Local Security Checks	2016/12/13	2021/1/19	critical
89371	Fedora 22：pcre-8.37-7.fc22（2015-afafa29551）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
90306	Ubuntu 14.04 LTS : PCRE の脆弱性 (USN-2943-1)	Nessus	Ubuntu Local Security Checks	2016/4/1	2023/10/20	critical
91983	GLSA-201607-02：libpcre：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/7/11	2021/1/11	critical
95534	SUSE SLED12 / SLES12セキュリティ更新プログラム：pcre（SUSE-SU-2016:2971-1）	Nessus	SuSE Local Security Checks	2016/12/5	2021/1/6	critical
94906	openSUSEセキュリティ更新プログラム：pcre（openSUSE-2016-1303）	Nessus	SuSE Local Security Checks	2016/11/16	2021/1/19	critical
92667	F5 Networks BIG-IP：複数の PCRE の脆弱性（SOL20225390）	Nessus	F5 Networks Local Security Checks	2016/8/2	2021/3/10	high
95915	SUSE SLED12 / SLES12セキュリティ更新プログラム：pcre（SUSE-SU-2016:3161-1）	Nessus	SuSE Local Security Checks	2016/12/16	2021/1/6	critical

検出

プラグインの検索

critical

high

critical

critical

critical

critical

high

critical