3つのセキュリティの問題と1つのバグを解決する更新された glibc パッケージが Red Hat Enterprise Linux 6 用に現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

glibc パッケージは、システムの複数プログラムで使用されている標準 C ライブラリと標準数学ライブラリを提供します。これらのライブラリがないと、 Linux システムは適切に機能しません。

glibc のフォーマットされた印刷機能の複数のエラーにより、攻撃者は FORTIFY_SOURCE 保護をバイパスし、アプリケーション内の書式文字列の欠陥を利用して任意のコードを実行する可能性があります。これは、これらの保護がそのような欠陥の影響によるアプリケーションの中止を制限することが期待されているにもかかわらず発生します。（CVE-2012-3404、 CVE-2012-3405、CVE-2012-3406）

この更新では以下のバグも修正されます。

* プログラミングのエラーにより、/etc/resolv.conf ファイルに IPv6 ネームサーバーが含まれているときに、ネームサーバーの内部配列が部分的にのみ初期化されます。近くの構造体の内容によっては、特定のアプリケーションがセグメンテーション違反して突然終了する可能性があります。プログラミングのエラーを修正し、/etc/resolv.conf ファイル内にリストされた IPv6 ネームサーバーの適切な動作を復元しました。（BZ#837026）

glibc の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

リモート VMware ESXi 5.0 ホストは、以下のセキュリティ脆弱性の影響を受けます。

  - glibc ライブラリの「__tzfile_read」関数に整数オーバーフローエラーがあることにより、サービス拒否攻撃または任意のコードの実行が可能になることがあります。
    （CVE-2009-5029）

  - 報告されているところによれば、glibc に、変更されたローダーおよび「LD_TRACE_LOADED_OBJECTS」チェックに関連するエラーがあり、これにより、任意のコードを実行できることがあります。この問題については glibc の作成者が反論しています。（CVE-2009-5064）

  - ファイル「elf/dynamic-link.h」の関数「elf_get_dynamic_info」に整数符合エラーがあることにより、任意のコードを実行できることがあります。
    （CVE-2010-0830）

  - OpenSSL および回避策「SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG」に関連する弱点があることにより、キャッシュ済みの弱い暗号パッケージにダウングレードできることがあります。
    （CVE-2010-4180）

  - OpenSSL および「J-PAKE」プロトコルに関連するエラーがあることにより、認証をバイパスできることがあります。
    （CVE-2010-4252）

  - OpenSSL および「ClientHello」ハンドシェイクメッセージに関連するエラーがあることにより、サービス拒否攻撃をできることがあり、情報漏洩の可能性があります。
    （CVE-2011-0014）

  - glibc ライブラリの関数「addmntent」にエラーがあることにより、ファイル「/etc/mtab」を破損できることがあります。（CVE-2011-1089）

  - libpng ライブラリのファイル「pngset.c」の関数「png_set_text_2」にエラーがあることにより、任意のコードを実行できることがあります。（CVE-2011-3048）

  - OpenSSL、Datagram Transport Layer Security 実装、および MAC チェックに関連するエラーがあることにより、情報を漏洩できることがあります。（CVE-2011-4108）

  - OpenSSL およびポリシーチェックに関連するダブルフリーエラーが存在することにより、未特定の影響があります。
    （CVE-2011-4109）

  - OpenSSL、SSL 3.0 実装、およびデータ構造の初期化に関連するエラーがあることにより、情報を漏洩できることがあります。（CVE-2011-4576）

  - OpenSSL、X.509 証明書、および「自立システム」識別子に関連するエラーがあることにより、サービス拒否攻撃をできることがあります。（CVE-2011-4577）

  - glibc ライブラリの関数「svc_run」に、RPC に関連するエラーがあることにより、サービス拒否攻撃をできることがあります。（CVE-2011-4609）

  - OpenSSL、「サーバーゲート暗号化」実装、およびハンドシェイクの再開に関連するエラーがあることにより、サービス拒否攻撃をできることがあります。
    （CVE-2011-4619）

  - OpenSSL および Datagram Transport Layer Security アプリケーションに関連する領域外読み取りエラーがあることにより、サービス拒否攻撃をできることがあります。（CVE-2012-0050）

  - glibc ライブラリの関数「printf」に「nargs」解析に関連するオーバーフローエラーがあることにより、任意のコードを実行できることがあります。（CVE-2012-0864）

  - ネットワークファイルコピー（NFC）の処理に関連するエラーがあることにより、サービス拒否攻撃または任意のコードの実行が可能になることがあります。（CVE-2013-1659）

USN-1589-1 修复了 GNU C 库中的漏洞。其中一个更新暴露了浮点解析器中的回归。此更新修复了该问题。

我们对不便之处表示抱歉。

已发现，printf() 系列函数的 positional 参数在 GNU C 库中未正确处理。攻击者可能利用此缺陷导致基于堆栈的缓冲区溢出，造成拒绝服务或可能执行任意代码。
（CVE-2012-3404、CVE-2012-3405、CVE-2012-3406）

已发现 GNU C 库的 strtod()、strtof() 和 strtold() 函数中存在多种整数溢出。攻击者可能利用此缺陷触发基于堆栈的缓冲区溢出，造成拒绝服务或可能执行任意代码。(CVE-2012-3480)。

glibc 的格式化打印功能存在多个错误，可能导致攻击者使用应用程序中的格式字符串缺陷绕过 FORTIFY_SOURCE 保护并执行任意代码，即使这些保护预期会将这些缺陷的影响限制为中止应用程序。

在 GNU C 库（又称为 glibc） 2.5、2.12 以及可能的其他版本的 stdio-common/vfprintf.c 中的 vfprintf 函数在分配 SPECS 数组时并未“正确限制使用” alloca 函数，从而允许上下文有关的攻击者可通过使用位置参数和大量格式说明符构建的格式字符串绕过 FORTIFY_SOURCE 格式字符串保护机制并造成拒绝服务（崩溃）或可能执行任意代码，此漏洞与 CVE-2012-3404 和 CVE-2012-3405 不同。

远程主机受到 GLSA-201503-04 中所述漏洞的影响（GNU C 库：多种漏洞）

已在 GNU C 库中发现多种漏洞。
 请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

本地攻击者可能可以执行任意代码或造成拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60066	CentOS 6：glibc （CESA-2012:1098）	Nessus	CentOS Local Security Checks	2012/7/20	2021/1/4	medium
70885	ESXi 5.0 < ビルド 912577 の複数の脆弱性（リモートチェック）	Nessus	Misc.	2013/11/13	2018/11/15	high
63285	Ubuntu 8.04 LTS：glibc 回归 (USN-1589-2)	Nessus	Ubuntu Local Security Checks	2012/12/18	2019/9/19	medium
69599	Amazon Linux AMI：glibc (ALAS-2012-109)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	medium
82577	F5 Networks BIG-IP：GNU C 库 (glibc) 漏洞 (SOL16364)	Nessus	F5 Networks Local Security Checks	2015/4/6	2019/1/4	medium
81689	GLSA-201503-04：GNU C 库：多种漏洞 (GHOST)	Nessus	Gentoo Local Security Checks	2015/3/9	2021/1/11	high

检测

插件搜索

medium

high

medium

medium

medium

high