遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-9280 公告中提及的多個弱點影響。

  - 在 GNU C 程式庫 (亦即 glibc 或 libc6) 2.31 和更舊版本中，在目的地編碼中使用多個後置詞 (TRANSLATE 或 IGNORE) 和 -c 選項叫用 iconv 程式時，其在處理無效的多位元組輸入序列時會輸入無限迴圈，導致拒絕服務。 (CVE-2016-10228)

  - 在 GNU C 程式庫 (亦即 glibc 或 libc6) 2.29 及之前版本中，posix/regexec.c 的 proced_next_node 中存在堆積型緩衝區過度讀取問題，這是嘗試不區分大小寫的規則運算式比對所致。(CVE-2019-9169)

  - 在 GNU C 程式庫 (即 glibc 或 libc6) 2.32 和更舊版本中，iconv 函式在處理 IBM1364、IBM1371、IBM1388、IBM1390 和 IBM1399 編碼處理中無效的多位元組輸入序列時，無法推進輸入狀態，這可導致應用程式中發生無限迴圈，進而造成拒絕服務，此弱點與 CVE-2016-10228不同。(CVE-2020-27618)

  - 在 GNU C 程式庫 (亦即 glibc 或 libc6) 2.32 及更早版本中，iconv 函式在處理 ISO-2022-JP-3 編碼中的無效輸入序列時，會使程式碼路徑中的宣告失敗並中止程式，這可能導致拒絕服務。(CVE-2021-3326)

  - 在 GNU C 程式庫 (亦即 glibc 或 libc6) 2.32 及之前所有版本中，iconv 功能在 EUC-KR 編碼中無效的多位元組輸入序列時，可能會發生緩衝區過度讀取。(CVE-2019-25013)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Oracle Linux 8：glibc (ELSA-2021-9280)

critical Nessus Plugin ID 154915

版本 1.7