Libidn 2.2.0（2019年5月23日リリース）=================================

  - デフォルトで検索関数に対するA-Labelラウンドトリップを実行します

  - punycodeデコーダーへの入力の厳密なチェック

  - ASCII文字はないが区切り文字が与えられているpunycodeのデコードを修正します

  -「idn2 --no-tr64」を修正します（以前は操作なし）

  -「_」をドメインラベルの基本コードポイントとして許可します

  -「ronn」がインストールされていない場合にドキュメントを構築できません

  - https://semver.org/を反映するようgitタグを変更しました 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Libidn 2.2.0（2019年5月23日リリース）=================================

  - デフォルトで検索関数に対するA-Labelラウンドトリップを実行します

  - punycodeデコーダーへの入力の厳密なチェック

  - ASCII文字はないが区切り文字が与えられているpunycodeのデコードを修正します

  -「idn2 --no-tr64」を修正します（以前は操作なし）

  -「_」をドメインラベルの基本コードポイントとして許可します

  -「ronn」がインストールされていない場合にドキュメントを構築できません

  - https://semver.org/を反映するようgitタグを変更しました

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

国際化ドメイン名（IDN）用GNUライブラリlibidn2のidn2_to_ascii_4i()関数に、ヒープベースのバッファーオーバーフローの脆弱性が見つかりました。これにより、長いドメイン文字列を処理する際に、サービス拒否または任意コード実行が引き起こされる可能性がありました。

lib/lookup.cのidn2_to_ascii_4iでのヒープベースのバッファオーバーフロー：2.1.1より前のGNU libidn2で、lib/lookup.cのidn2_to_ascii_4iには、長いドメイン文字列によるヒープバッファオーバーフローがあります。（CVE-2019-18224）

このlibidn2のバージョン2.2.0への更新では、次の問題を修正します：

CVE-2019-12290：AラベルをUラベルに変換するときの不適切なラウンドトリップチェックを修正しました（bsc#1154884）。

CVE-2019-18224：長いドメイン文字列によって引き起こされるヒープベースのバッファオーバーフローを修正しました（bsc#1154887）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Libidn2が特定の入力を不適切に処理していることがわかりました。攻撃者はこの問題を利用し、ドメインになりすます可能性があります。
(CVE-2019-12290)

Libidn2が特定の入力を不適切に処理していることがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。
(CVE-2019-18224)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

2.1.1より前のGNU libidn2で、lib/lookup.cのidn2_to_ascii_4iには、長いドメイン文字列によるヒープバッファオーバーフローがあります。（CVE-2019-18224）2.2.0より前のGNU libidn2は、AラベルをUラベルに変換するときに、RFC3490セクション4.2で指定されたラウンドトリップチェックを実行できません。これにより、ある状況において、あるドメインが別のドメインになりすますことが可能になります。特定のpunycoded Unicode文字（最初にUnicodeラベルに変換され、次にASCIIラベルに変換されるときに破棄される）が含まれていること以外はターゲットドメインに一致する悪意のあるドメインを作成することにより、任意のドメインになりすますことが可能です。（CVE-2019-12290）

このlibidn2のバージョン2.2.0への更新では、次の問題を修正します：

  - CVE-2019-12290：AラベルをUラベルに変換するときの不適切なラウンドトリップチェックを修正しました（bsc#1154884）。

  - CVE-2019-18224：長いドメイン文字列によって引き起こされるヒープベースのバッファオーバーフローを修正しました（bsc#1154887）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130489	Fedora 29：mingw-libidn2（2019-a8d35fcf7c）	Nessus	Fedora Local Security Checks	2019/11/4	2024/4/16	critical
130492	Fedora 30：mingw-libidn2（2019-d3221d69e0）	Nessus	Fedora Local Security Checks	2019/11/4	2024/4/16	critical
133416	Debian DSA-4613-1 : libidn2 - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/3	2024/3/28	critical
132261	Amazon Linux 2：libidn2（ALAS-2019-1373）	Nessus	Amazon Linux Local Security Checks	2019/12/19	2024/4/3	critical
131548	SUSE SLED15 / SLES15セキュリティ更新プログラム：libidn2 (SUSE-SU-2019:3086-1)	Nessus	SuSE Local Security Checks	2019/12/3	2024/4/8	critical
130393	Ubuntu 18.04 LTS : Libidn2の脆弱性 (USN-4168-1)	Nessus	Ubuntu Local Security Checks	2019/10/30	2023/10/21	critical
132322	Amazon Linux AMI：libidn2（ALAS-2019-1327）	Nessus	Amazon Linux Local Security Checks	2019/12/20	2024/4/2	critical
131682	openSUSEセキュリティ更新プログラム：libidn2 (openSUSE-2019-2611)	Nessus	SuSE Local Security Checks	2019/12/4	2024/4/5	critical
131684	openSUSEセキュリティ更新プログラム：libidn2 (openSUSE-2019-2613)	Nessus	SuSE Local Security Checks	2019/12/4	2024/4/5	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical