Oracle Linux 8：gcc (ELSA-2025-1301)
medium Nessus 插件 ID 216223
语言：
简介
远程 Oracle Linux 主机缺少安全更新。描述
远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2025-1301 公告中提及的一个漏洞影响。- 将 Oracle 补丁合并到 8.5.0-23。
Oracle 历史记录：
2024 年 5 月 22 日 Qing Zhao <[email protected]> 8.5.0-22.0.1
- 将 Oracle 补丁合并到 8.5.0-22。
审核人：Jose E. Marchesi <[email protected]> 2024 年 3 月 27 日 Qing Zhao <[email protected]> 8.5.0-21.0.1
- 将 Oracle 补丁合并到 8.5.0-21。
2024 年 1 月 19 日 Qing Zhao <[email protected]> 8.5.0-20.0.3
- 修复 Orabug 35283123，即与 GCC PR111407 相同的错误。
gcc14-pr111407.patch 审核人：Jose E. Marchesi <[email protected]> 2024 年 1 月 5 日 Jose E. Marchesi <[email protected]> 8.5.0-20.0.2
- 根据新的 AArch64 堆栈帧布局，恢复对 aarch64 目标中的 -mpreserve-args 的支持。
审核人：Cupertino Miranda <[email protected]> 2023 年 10 月 4 日 David Faust <[email protected]> 8.5.0-20.0.1
- 向前移植 Oracle 补丁 审核人：Jose E. Marchesi <[email protected]> 2023 年 9 月 28 日 David Faust <[email protected]> 8.5.0-18.0.6
- 从 gcc-9 向后移植更多补丁，以修复 CVE-2023-4039 补丁与向后移植的 aarch64-fstack-clash-protection 支持之间的交互。
[Orabug 35843962] 审核人：Jose E. Marchesi <[email protected]> 2023 年 8 月 31 日 Qing Zhao <[email protected]> 8.5.0-18.0.5
- CVE-2023-4039 GCC 缓解。
Orabug 35751743。
包括移除 aarch64-preserve-args.patch。
- CVE-2022-40982“Intel Downfall”缓解措施。
Orabug 35751810。
添加两个最初来自 GCC 上游 releases/gcc-11 分支的补丁。
以及重大调整。
gcc11-downfall-disable-gather-in-vec.patchgcc11-downfall-support-mno-gather.patch 审核人：Jose E. Marchesi <[email protected]> 2023 年 5 月 11 日 Jose E. Marchesi <[email protected]> 8.5.0-18.0.2
- 对 aarch64 中的 -mpreserve-args 的支持。
Orabug 35065765。
审核人：Qing Zhao <[email protected]>。
2023 年 3 月 28 日 Qing Zhao <[email protected]> 8.5.0-18.0.1
- 将 Oracle 补丁与 gcc-8.5.0-18 合并。
审核人：Jose E. Marchesi <[email protected]> 2023 年 1 月 12 日 Qing Zhao <[email protected]> 8.5.0-16.0.1
- 将 Oracle 补丁与 gcc-8.5.0-16 合并。
2022 年 11 月 30 日 Qing Zhao <[email protected]> 8.5.0-15.0.2
- 修复 Orabug 34679540 - 分析 Linux ARM64 中的收集构建和工作负载测试问题。
移除有缺陷的补丁（也已从上游 gcc 移除）：
gcc10-pr91971.patch 2022 年 9 月 28 日 Qing Zhao <[email protected]> 8.5.0-15.0.1
- 将 Oracle 补丁与 gcc-8.5.0-15 合并。
2022 年 6 月 29 日 Qing Zhao <[email protected]> 8.5.0-10.1.0.1
- 将 Oracle 补丁与 gcc-8.5.0-10.1.el8_6. 合并。
审核人：Jose E. Marchesi <[email protected]> 2022 年 5 月 4 日 Qing Zhao <[email protected]> 8.5.0-10.0.2
- 仅修复 OL GCC 中的 Orabug 34066706。
当 .gcda 文件中没有 PROGRAM_SUMMARY 部分时，报告错误。
审核人：Jose E. Marchesi <[email protected]> 2022 年 4 月 27 日 Marek Polacek <[email protected]> 8.5.0-10.1
- backport Default widths with -fdec-format-defaults 补丁 (#2079578) 2022 年 3 月 22 日 Qing Zhao <[email protected]> 8.5.0-10.0.1
- 与 Oracle 补丁合并。
2022 年 1 月 5 日 Qing Zhao <[email protected]> 8.5.0-4.0.2
- 添加补丁以支持 Arm 上的 marvell：
gcc9-add-support-for-profile-extension.patchgcc10-add-initial-octeontx2-support.patch 审核人：Jose E. Marchesi <[email protected]> 2021 年 11 月 16 日 Qing Zhao <[email protected]> 8.5.0-4.0.1
- 将 Oracle 补丁合并到安全勘误表 8.5.0-4。
审核人：Jose E. Marchesi <[email protected]> 2021 年 10 月 14 日 Indu Bhagat <[email protected]> 8.5.0-3.0.2
- 修复 Orabug 33451471 并向后移植 CTF/BTF 增强功能 ctfc：释放 ctfc_delete_container () 中的 CTF 容器元素 ctf：使用 -gbtf 进行编译时，对不支持将 CTF 用于 btf_finalize 中的 GNU GIMPLE ICE 不发出警告（PR debug/102507，Orabug 33451471）审核人：Jose E. Marchesi <[email protected]> 2021 年 10 月 5 日 Qing Zhao <[email protected]> 8.5.0-3.0.1
- 将以下 Oracle 补丁合并到 OL8.5 beta：
- 修复 OL8U5 源库中由 Oracle 补丁 gcc9-multiple-changes-align.patch 触发的 aarch64 编译错误。
gcc-fix-aarch64-tune-params.patch
- 修复 Orabug 33281392 更新 OL8 GCC 中的 CTF 和 BTF 支持 此提交带来了与上游同等的 CTF/BTF 调试格式支持。GCC 现在通过使用内部 DWARF 表示方式生成 CTF/BTF 调试信息。
出于向后兼容性原因，OL8 GCC 继续支持 -gt 命令行选项。
(Indu Bhagat <[email protected]> 8.4.1-1.0.3)
- 添加上游提交 54f0224d55a1b56dde092460ddf76913670e6efc 的 complex divide 改进向后移植 (Patrick.McGehearty <[email protected]> 8.4.1-1.0.2)
- 修复 Orabug 32301371 - 使用具有保留路径选项的 gcov 时发生错误 此错误与 GCC 错误 PR gcov-profile/88994 gcc9-pr88994.patch 相同 (Qing Zhao <[email protected]> 8.3.1-5.1.0.2)
- 修复通过指针引用的完整结构生成 CTF 类型记录的问题。
Orabug 31095790。
(Jose E. Marchesi <[email protected]> 8.3.1-5.0.4)
- 修复 Orabug 29838827 - 提供用于调整嵌套 #include 最大深度的选项 此错误与 Gcc9 的 gcc 上游 PR90581 错误相同：
gcc9-pr90581.patch
- 修复 Orabug 29541051 - ASAN_OPTIONS 'ERROR: expected '='' 出现问题时显示的错误消息令人混淆 此错误与 Gcc9 的 gcc 上游 PR89832 错误相同：
gcc9-pr89832.patch (Qing Zhao <[email protected]> 8.3.1-5.0.3)
- 更新对 CTF 的支持 修复 Orabug 30833294 GCC 为单个元素数组生成错误的 CTF 修复 Orabug 30808764 使用 __attribute__ ((mode (XX))) 时，CTF 生成失败 (Indu Bhagat <[email protected]> 8.3.1-5.0.2)
- 仅为 ifarch aarch64 应用 ares/neoverse 支持补丁。
(Qing Zhao <[email protected]> 8.3.1-4.5.0.6)
- 添加来自 gcc9 的 4 个补丁，以支持适用于 Aarch64 gcc9-add-vec-reverse.patch、gcc9-multiple-changes-align.patch、gcc9-initial-mcpu-ares-tuning.patch、gcc9-add-support-for-neoverse-n1.patch 的 Arm Ares 和 Neoverse-N1 (Indu Bhagat <[email protected]> 8.3.1-4.5.0.5)
- 更新对 CTF 的支持 修复 Orabug 30778534 gcc 应仅为文件范围的函数生成 CTF 修复 Orabug 30779193 在某些风格的 vla 下，CTF 生成失败 修复 Orabug 30784275 修复 typedef 构造 ctf-3-generation-and-emission-for-a-single-compilation.patchctf-4-update-ctf-testsuite.patch 存在的 CTF 生成问题 (Indu Bhagat <[email protected]> 8.3.1-4.5.0.4)
- 在 GCC 中添加对 CTF 的支持 修复 Orabug 30102948 gcc：将 CTF 生成添加到编译器 修复 Orabug 30102949 gcc：将 CTF 生成添加到编译器 (aarch64) ctf-1-new-function-lang_GNU_GIMPLE.patchctf-2-command-line-options-gtLEVEL.patchctf-3-generation-and-emission-for-a-single-compilation.patchctf-4-update-ctf-testsuite.patchctf-5-handle-ctf-sections-when-lto-enabled.patch (Qing Zhao <[email protected]> 8.3.1-4.5.0.3)
- CVE-2018-12207/Intel SKX102 OL8 gcc：适用于 CVE 的 Intel 缓解措施：CVE-2018-12207
- 允许 -flto -Wa,-mbranches-within-32B-boundaries 将 -mbranches-within-32B-boundaries 传递到 GNU 组装器。利用现有的 GCC 二进制文件，不允许 -lfto、-Wa,-mbranches-within-32B-boundaries 将
-mbranches-within-32B-boundaries 传递到 GNU 组装器。
- 缓解补丁：
gcc8-Fix-Wa-with-flto.patch (Qing Zhao <[email protected]> 8.3.1-4.5.0.2)
- 修复 Orabug 29968294 - fprofile-dir=%p 的堆损坏阻止分析 RDBMS 所需的并行进程：
添加补丁以修复 Gcc9 中的 PR86057：
gcc9-pr86057.patch
- 修复 Orabug 30044244 - 与对象文件路径连接的配置文件目录 此错误与 gcc 上游 PR91971 错误相同：
gcc9-pr85759.patch gcc10-pr91971.patch (Indu Bhagat <[email protected]> 8.3.1-4.5.0.1)
- 修复 Orabug 29599147 - 需要将 -fprofile-dir=%q{VAR} 向后移植到 gcc8 这类似于 GCC PR47618，添加 GCC9 中的补丁：
gcc9-pr47618.patch
- 修复 Orabug 29272977 - 数据库支持：需要从 GCC 转储内联报告的方法 从 GCC9 中添加 -fopt-info-inline 支持：
gcc9-opt-info-inline.patch
- 修复 Orabug 29273006 - 数据库支持：需要关闭内联全局函数的方式 从 GCC9 添加 -flive-patching 支持：
gcc9-fipa-reference-addressable.patch gcc9-fipa-stack-alignment.patch gcc9-add-fomit-frame-pointer-to-test.patchgcc9-extend-live-patching-option-handling.patchgcc9-ipa-stack-alignment-386-test.patch
- 将“oracle_release”引入到 .spec 文件中。将其返回到 gcc/DEV-PHASE。
- 向后移植来自 https://git.theobroma-systems.com/ampere-computing/gcc.git/log/?h=gcc-8_2_0-amp3-branche18301133ea622f6d6796ded1d15466e70475cf8 的 17 ampere 补丁：适用于 aarch64 的 Retpoline（Spectre-V2 缓解措施）。
d735f3ae4712f66362326d179b4d7e9332c79677: Revert 2017-10-24 Richard Biener 271e2811e59c0c77fc022fa86a7030f20b4cac8e：为 shifted 纠正最大位移数量 0512749950d927de3dd695f2f2aacdfd30cf32fd：为 Ampere Computing 的 eMAG 添加 CPU 支持。
c8b87078f9e0714cb9cab602e12a18ceb12df05a：eMAG/Xgene：适用于 X-Gene 的 Procedural 成本模型 74610471b3577c5d465c3fd095a65b796b1e074c：为 xgene1 更新成本表。
ddba1553ac412be5596e6e2962c148032c4cf231：[AArch64] 添加 Xgene1 预取调整。
b7ebb0a10a8900324074070188a0936ed81b28a4：[AArch64] 修复 xgene1_addrcost_table 中的问题 393dc5c50d55d069f91627bf0be5bab812978850：X-Gene：针对 GCC 8 优化调整结构。
b9136d58824af2118c4969c3edb42cad3318b08f：tree-ssa-list-find-pipeline：
为列表查找添加管道加载。
095496dd8a9491a17a9caec173281ad02e559df5：uncse：添加了撤消通用子表达式消除的传递。
a7c8dc238e3656e9d2f9256ee76f933c8d7956fb：loop-prefetcher：为 X-Gene 核心调整默认值。
256307f293f1750851576e14c8a42b696eced2da：tree-ssa-cpp：在没有定义 stmts 的情况下，SSA 名称上不会发生崩溃。
6e32f53be4f6733f6bfe267ad2337aecaf4047f6：引入新选项 -funroll-more。
1ac2485a2fced091a5cce6343fe6a6337f850e73：用于绕过别名检查的新选项。
66d7d833bece61e58998ad53a609cd32e3ee4fad：cfgloopmanip：允许强制创建循环 preheader。
c4f89d50e200538b1ac8889801705300e0b27ef2：添加新传递以优化循环。
Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: Medium
ID: 216223
文件名: oraclelinux_ELSA-2025-1301.nasl
版本: 1.2
类型: local
代理: unix
发布时间: 2025/2/13
最近更新时间: 2025/2/14
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.7
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.6
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2020-11023
CVSS v3
风险因素: Medium
基本分数: 6.1
时间分数: 5.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:oracle:linux:libquadmath, cpe:/o:oracle:linux:8::baseos_latest, p-cpe:/a:oracle:linux:libgfortran-static, p-cpe:/a:oracle:linux:gcc-gfortran, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:gcc-plugin-devel, p-cpe:/a:oracle:linux:libgcc, p-cpe:/a:oracle:linux:cpp, p-cpe:/a:oracle:linux:gcc-gdb-plugin, p-cpe:/a:oracle:linux:gcc-plugin-annobin, p-cpe:/a:oracle:linux:libstdc%2b%2b-static, p-cpe:/a:oracle:linux:libgfortran, p-cpe:/a:oracle:linux:gcc, p-cpe:/a:oracle:linux:libstdc%2b%2b, p-cpe:/a:oracle:linux:liblsan, p-cpe:/a:oracle:linux:libstdc%2b%2b-docs, p-cpe:/a:oracle:linux:libitm-devel, p-cpe:/a:oracle:linux:libstdc%2b%2b-devel, p-cpe:/a:oracle:linux:gcc-c%2b%2b, cpe:/a:oracle:linux:8::appstream, cpe:/a:oracle:linux:8::codeready_builder, p-cpe:/a:oracle:linux:libatomic-static, p-cpe:/a:oracle:linux:libubsan, p-cpe:/a:oracle:linux:libquadmath-devel, p-cpe:/a:oracle:linux:gcc-offload-nvptx, p-cpe:/a:oracle:linux:libtsan, p-cpe:/a:oracle:linux:libitm, p-cpe:/a:oracle:linux:libasan, p-cpe:/a:oracle:linux:libgomp, cpe:/o:oracle:linux:8:10:baseos_patch, p-cpe:/a:oracle:linux:libquadmath-static, p-cpe:/a:oracle:linux:libatomic, p-cpe:/a:oracle:linux:libgomp-offload-nvptx
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可利用: true
易利用性: Exploits are available
补丁发布日期: 2025/2/12
漏洞发布日期: 2020/4/29
CISA 已知可遭利用的漏洞到期日期: 2025/2/13
参考资料信息
CVE: CVE-2020-11023