glibcのこの更新プログラムでは、以下の問題が修正されています：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-15804：glob.cのglob関数におけるユーザー名のエスケープ解除中に発生するバッファオーバーフローを修正します（bsc#1064580）。

  - CVE-2017-15670：GLOB_TILDEによるglobでのバッファオーバーフローを修正します（bsc#1064583）。

  - CVE-2017-15671：GLOB_TILDEによるglobでのメモリリークを修正します（bsc#1064569）。

  - CVE-2018-11236：非常に長いパス名の引数を処理する際のstdlib/canonicalize.cの32ビットarch整数オーバーフローを修正します（bsc#1094161）。

  - CVE-2017-12132：アドバタイズされるEDNS0バッファサイズを縮小し、フラグメンテーション攻撃から保護します（bsc#1051791）。

  - CVE-2018-1000001：malloced領域のアンダーフローを回避します（bsc#1074293）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

この更新は、2つのセキュリティの脆弱性に対処します：

  - CVE-2017-15670、CVE-2017-15671、CVE-2017-15804：さまざまな脆弱性が`glob`関数と`glob64`関数のメモリ破損につながる可能性があります。（RHBZ#1505298、RHBZ＃#1504807）

  - CVE-2017-16997：動的リンカーでの動的文字列トークン拡張の前に空のトークンをチェックします。これにより、`$ORIGIN` rpaths/runpathsを含む既存の権限のあるプログラムが、動的リンカーに現在のディレクトリを検索させず、権限昇格につながる可能性があります。（RHBZ#1526866）。

  - CVE-2018-1000001：`getcwd`は、非絶対パスを返すことがあり、`realpath`関数を混乱させ、ユーザーの名前空間に関連した権限昇格を引き起こす可能性があります。（RHBZ#1533837） 

加えて、この更新は、`XSAVE`命令が使用可能な場合はそれを使用するバージョンでx86-64上の動的リンカートランポリンを置き換えます。これにより、x86-64 ABIに準拠していない将来のハードウェアやコンパイラとの互換性が向上します。また、この更新は、以前のglibcバージョンと比較して追加のスタックスペースを提供するために、スレッドスタックサイズアカウンティングを調整します（RHBZ#1527887の導入を避けるため）。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このglibcの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2017-15671：GLOB_TILDEによるglobでのメモリリークが修正されました（bsc#1064569、BZ #22325）。

修正された非セキュリティ問題：pthread_attr_getaffinity_npのメモリ境界を超えるアクセスを回避します（bsc#1110170、BZ #15618）。

dlcloseの不適切なアサートを削除します（bsc#1110174、BZ #11941）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このglibc用の更新プログラムでは、以下の問題を修正します：

  - realpath（）関数の権限昇格バグを修正します。[CVE-2018-1000001、bsc#1074293]

  - ダイナミックELFローダーのメモリリークおよびバッファオーバーフローが修正されました。[CVE-2017-1000408、CVE-2017-1000409、bsc#1071319]

  - RPATHを処理するコードの問題が修正されました。この問題は、任意のライブラリからロードされたコードを実行するために攻撃者に悪用される可能性がありました。[CVE-2017-16997、bsc#1073231]

  - pthread_create()のメモリ解放後使用（use-after-free）バグによって引き起こされる可能性のあるクラッシュが修正されました。[bsc#1053188]

  - ユーザーが、最適化されたlibmvec.so APIを使用する共有オブジェクトを構築できないようにするバグが修正されました。
    [bsc#1070905]

  - glob()関数のメモリリークが修正されました。
    [CVE-2017-15670、CVE-2017-15671、CVE-2017-15804、bsc#1064569、bsc#1064580、bsc#1064583]

  - クラッシュの場合にsyscallエラーコード値を失うバグが修正されました。[bsc#1063675]

この更新はSUSEからインポートされました：SLE-12-SP2：更新プロジェクトを更新します。

この更新は、IBM858コードページのサポートを追加します（RHBZ#1416405）。`nss_compat` NSSサービスモジュールをメインglibcパッケージに移動します（RHBZ#1400538）。セキュリティ強化の手段として、stdioストリームはプロセス停止/アサーションエラーでフラッシュされなくなりました（RHBZ#1498880）。
`/var/db/Makefile`は、`nss_db`パッケージに含まれるようになりました（RHBZ#1498900）。IBM zシリーズのインストール関連エラーを修正します（RHBZ#1499260）。

`glob`関数の2つのセキュリティ修正が提供されます（CVE-2017-15670、 CVE-2017-15671、 RHBZ#1504807）。

`_SC_IOV_MAX`に対して-1を返す`sysconf`関数のエラーが修正されました（RHBZ#1504165）。

glibc 2.26安定版ブランチからの同梱されたUpstream更新は、` <math.h>`関数のC ++互換性を改善し、スレッドローカルキャッシュが使用中の場合のmalloc内のメモリリークを修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201804-02（glibc：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がglibcで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が任意のコードを実行したり、権限を昇格したり、サービス拒否状態を引き起こしたり、他の不特定の影響を及ぼしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このglibc用の更新プログラムでは、以下の問題を修正します：

  - realpath（）関数の権限昇格バグを修正します。[CVE-2018-1000001、bsc#1074293]

  - ダイナミックELFローダーのメモリリークおよびバッファオーバーフローが修正されました。[CVE-2017-1000408、CVE-2017-1000409、bsc#1071319]

  - RPATHを処理するコードの問題が修正されました。この問題は、任意のライブラリからロードされたコードを実行するために攻撃者に悪用される可能性がありました。[CVE-2017-16997、bsc#1073231]

  - pthread_create()のメモリ解放後使用（use-after-free）バグによって引き起こされる可能性のあるクラッシュが修正されました。[bsc#1053188]

  - ユーザーが、最適化されたlibmvec.so APIを使用する共有オブジェクトを構築できないようにするバグが修正されました。
    [bsc#1070905]

  - glob()関数のメモリリークが修正されました。
    [CVE-2017-15670、CVE-2017-15671、CVE-2017-15804、bsc#1064569、bsc#1064580、bsc#1064583]

  - クラッシュの場合にsyscallエラーコード値を失うバグが修正されました。[bsc#1063675]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

glibcのこの更新プログラムでは、以下の問題が修正されています：キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-15804：glob.cのglob関数におけるユーザー名のエスケープ解除中に発生するバッファオーバーフローを修正します（bsc#1064580）。

  - CVE-2017-15670：GLOB_TILDEによるglobでのバッファオーバーフローを修正します（bsc#1064583）。

  - CVE-2017-15671：GLOB_TILDEによるglobでのメモリリークを修正します（bsc#1064569）。

  - CVE-2018-11236：非常に長いパス名の引数を処理する際のstdlib/canonicalize.cの32ビットarch整数オーバーフローを修正します（bsc#1094161）。

  - CVE-2017-12132：アドバタイズされるEDNS0バッファサイズを縮小し、フラグメンテーション攻撃から保護します（bsc#1051791）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111547	SUSE SLES12セキュリティ更新プログラム：glibc（SUSE-SU-2018:2187-1）	Nessus	SuSE Local Security Checks	2018/8/6	2021/1/13	critical
106281	Fedora 26：glibc（2018-8e27ad96ed）	Nessus	Fedora Local Security Checks	2018/1/24	2021/1/6	critical
119579	SUSE SLES11セキュリティ更新プログラム：推奨されるglibcの更新（SUSE-SU-2018:4067-1）	Nessus	SuSE Local Security Checks	2018/12/11	2021/1/19	medium
106059	openSUSEセキュリティ更新プログラム：glibc（openSUSE-2018-30）	Nessus	SuSE Local Security Checks	2018/1/16	2021/1/19	critical
105814	Fedora 27：glibc（2017-0d3fdd3d1f）	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/11	critical
108822	GLSA-201804-02：glibc：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/4/4	2019/4/5	critical
106044	SUSE SLED12 / SLES12セキュリティ更新プログラム：glibc（SUSE-SU-2018:0074-1）	Nessus	SuSE Local Security Checks	2018/1/15	2021/1/13	critical
111546	SUSE SLES12セキュリティ更新プログラム：glibc（SUSE-SU-2018:2185-1）	Nessus	SuSE Local Security Checks	2018/8/6	2021/1/13	critical

検出

プラグインの検索

critical

critical

medium

critical

critical

critical

critical

critical