多个漏洞已在 GNU C 库 glibc 中修复。

下列第一个漏洞属于危急漏洞。

- CVE-2015-7547 Google 安全团队和 Red Hat 发现，glibc 主机名解析器函数 getaddrinfo 处理 AF_UNSPEC 查找（针对双 A/AAAA 查找）时，可错误管理其内部缓冲区，进而导致基于堆栈的缓冲区溢出和任意代码执行。此漏洞影响使用 getaddrinfo 执行主机名解析的大多数应用程序，包括系统服务。

- CVE-2015-8776 Adam Nielsen 发现如果将无效的分隔时间值传递至 strftime，strftime 函数可能会崩溃或泄漏信息。应用程序通常只会传递有效的时间信息给 strftime；尚无已知受影响的应用程序。

- CVE-2015-8778 Szabolcs Nagy 报告指出，甚少使用的 hcreate 和 hcreate_r 函数未正确检查大小参数，导致某些参数发生崩溃（拒绝服务）。目前尚无已知受影响的应用程序。

- CVE-2015-8779 catopen 函数包含数个 unbound 堆栈分配（堆栈溢出），可造成进程崩溃（拒绝服务）。目前未发现任何此问题可构成安全影响的应用程序。

虽然只需要确保所有进程均不再使用旧的 glibc，但仍建议应用安全升级之后，将机器重新启动。

检测

Debian DSA-3481-1：glibc - 安全更新

critical Nessus 插件 ID 88768

未找到变更日志