Oracle Linux 8：gcc (ELSA-2025-1301)
medium Nessus Plugin ID 216223
語言:
概要
遠端 Oracle Linux 主機缺少安全性更新。說明
遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2025-1301 公告中提及的一個弱點影響。- 將 Oracle 修補程式合併至 8.5.0-23。
Oracle 歷程記錄：
2024 年 5 月 22 日 Qing Zhao <[email protected]> 8.5.0-22.0.1
- 將 Oracle 修補程式合併至 8.5.0-22。
檢閱者：Jose E. Marchesi <[email protected]> 2024 年 3 月 27 日 Qing Zhao <[email protected]> 8.5.0-21.0.1
- 將 Oracle 修補程式合併至 8.5.0-21。
2024 年 1 月 19 日 Qing Zhao <[email protected]> 8.5.0-20.0.3
- 修正 Orabug 35283123，即與 GCC PR111407 相同的錯誤。
gcc14-pr111407.patch 檢閱者： Jose E. Marchesi <[email protected]> 2024 年 1 月 5 日 Jose E. Marchesi <[email protected]> 8.5.0-20.0.2
- 還原對 aarch64 目標中 -mpreserve-args 的支援，以適用新的 AArch64 堆疊框架配置。
檢閱者：Cupertino Miranda <[email protected]> 2023 年 10 月 4 日 David Faust <[email protected]> 8.5.0-20.0.1
- 正向移植 Oracle 修補程式。檢查者：Jose E. Marchesi <[email protected]> 2023 年 9 月 28 日 David Faust <[email protected]> 8.5.0-18.0.6
- 從 gcc-9 反向移植其他修補程式，以修正 CVE-2023-4039 修補程式與反向移植 aarch64 -fstack-clash-protection 支援的互動。
[Orabug 35843962] 檢閱者：Jose E. Marchesi <[email protected]> 2023 年 8 月 31 日 Qing Zhao <[email protected]> 8.5.0-18.0.5
- CVE-2023-4039 GCC 緩解措施。
Orabug 35751743。
包含 aarch64-preserve-args.patch 的移除。
- CVE-2022-40982 'Intel Downfall' 緩解措施。
Orabug 35751810。
新增兩個原本來自 GCC 上游版本/gcc-11 分支的修補程式。
進行重大調整。
gcc11-downfall-disable-gather-in-vec.patchgcc11-downfall-support-mno-gather.patchReviewed-by：Jose E. Marchesi <[email protected]> 2023 年 5 月 11 日 Jose E. Marchesi <[email protected]> 8.5.0-18.0.2
- 支援 aarch64 中的 -mpreserve-args。
Orabug 35065765。
檢閱者：Qing Zhao <[email protected]>。
2023 年 3 月 28 日 Qing Zhao <[email protected]> 8.5.0-18.0.1
- 合併 Oracle 修補程式與 gcc-8.5.0-18。
檢閱者：Jose E. Marchesi <[email protected]> 2023 年 1 月 12 日 Qing Zhao <[email protected]> 8.5.0-16.0.1
- 合併 Oracle 修補程式與 gcc-8.5.0-16。
2022 年 11 月 30 日 Qing Zhao <[email protected]> 8.5.0-15.0.2
- 修正 Orabug 34679540 - LINUX 中的設定檔收集構建和工作負載測試問題 ARM64。
也移除已從上游 gcc 中移除的錯誤修補程式：
gcc10-pr91971.patch 2022 年 9 月 28 日 Qing Zhao <[email protected]> 8.5.0-15.0.1
- 合併 Oracle 修補程式與 gcc-8.5.0-15。
2022 年 6 月 29 日 Qing Zhao <[email protected]> 8.5.0-10.1.0.1
- 合併 Oracle 修補程式與 gcc-8.5.0-10.1.el8_6。
檢閱者：Jose E. Marchesi <[email protected]> 2022 年 5 月 4 日 Qing Zhao <[email protected]> 8.5.0-10.0.2
- 僅修正 OL GCC 中的 Orabug 34066706。
當 .gcda 檔案中沒有 PROGRAM_SUMMARY 區段時報告錯誤。
檢閱者：Jose E. Marchesi <[email protected]> 2022 年 4 月 27 日 Marek Polacek <[email protected]> 8.5.0-10.1
- 反向移植 -fdec-format-defaults 修補程式的預設寬度 (#2079578) 2022 年 3 月 22 日 Qing Zhao <[email protected]> 8.5.0-10.0.1
- 與 Oracle 修補程式合併。
2022 年 1 月 5 日 Qing Zhao <[email protected]> 8.5.0-4.0.2
- 新增修補程式以支援 Arm 上的 marvell：
gcc9-add-support-for-profile-extension.patchgcc10-add-initial-octeontx2-support.patchReviewed-by：Jose E. Marchesi <[email protected]> 2021 年 11 月 16 日 Qing Zhao <[email protected]> 8.5.0-4.0.1
- 將 Oracle 修補程式合併至安全勘誤表 8.5.0-4。
檢閱者：Jose E. Marchesi <[email protected]> 2021 年 10 月 14 日 Indu Bhagat <[email protected]> 8.5.0-3.0.2
- 修正 Orabug 33451471 並反向移植 CTF/BTF 增強功能 ctfc：在 ctfc_delete_container 中釋放 CTF 容器元素 () ctf：使用 -gbtf 編譯時，針對 btf_finalize 中 GNU GIMPLE ICE 不支援的 CTF 不發出警告 (PR debug/102507、Orabug 33451471) 檢閱者：Jose E. Marchesi <[email protected]> 2021 年 10 月 5 日 Qing Zhao <[email protected]> 8.5.0-3.0.1
- 將下列 oracle 修補程式合併至 OL8.5 beta：
- 修正 OL8U5 來源基底上的 oracle 修補程式 gcc9-multiple-changes-align.patch 所觸發的 aarch64 編譯錯誤。
gcc-fix-aarch64-tune-params.patch
- 修正 Orabug 33281392。更新 OL8 GCC 中的 CTF 和 BTF 支援。此提交會為與上游相當的 CTF/BTF 除錯格式提供支援。GCC 現在會使用內部 DWARF 表示法產生 CTF/BTF 除錯資訊。
基於回溯相容性的原因，OL8 GCC 會繼續支援 -gt 命令行選項。
(Indu Bhagat <[email protected]> 8.4.1-1.0.3)
- 新增上游提交 54f0224d55a1b56dde092460ddf76913670e6efc 的複雜除法改善反向移植 (Patrick.McGehearty <[email protected]> 8.4.1-1.0.2)
- 修正 Orabug 32301371 - 將 gcov 用於保留路徑選項時發生的錯誤。此錯誤與 GCC 錯誤 PR gcov-profile/88994 gcc9-pr88994.patch 相同 (Qing Zhao <[email protected]> 8.3.1-5.1.0.2)
- 修正透過指標參照之已完成結構的 CTF 類型記錄產生。
Orabug 31095790。
(Jose E. Marchesi <[email protected]> 8.3.1-5.0.4)
- 修正 Orabug 29838827 - 提供調整巢狀 #include 最大深度的選項。此錯誤與來自 Gcc9 的 gcc 上游 PR90581 相同：
gcc9-pr90581.patch
- 修正 Orabug 29541051 - 當 ASAN_OPTIONS 'ERROR: expected '='' 有問題時，會出現令人混淆的錯誤訊息。此錯誤與 Gcc9 中的 gcc 上游 PR89832 相同：
gcc9-pr89832.patch (Qing Zhao <[email protected]> 8.3.1-5.0.3)
- CTF 的更新支援 修正 Orabug 30833294 GCC 針對單一元素陣列產生不正確的 CTF 修正使用 __attribute__ ((模式 (XX))) 時 Orabug 30808764 CTF 產生失敗的問題 (Indu Bhagat <[email protected]> 8.3.1-5.0.2)
- 僅在 ifarch aarch64 中套用 ares/neoverse 支援修補程式。
(Qing Zhao <[email protected]> 8.3.1-4.5.0.6)
- 新增來自 gcc9 的 4 個修補程式，以支援 Aarch64 的 Arm Ares 和 Neoverse-N1 gcc9-add-vec-reverse.patch gcc9-multiple-changes-align.patch gcc9-initial-mcpu-ares-tuning.patchgcc9-add-support- for-neoverse-n1.patch (Indu Bhagat <[email protected]> 8.3.1-4.5.0.5)
- 更新對於 CTF 的支援。修正 Orabug 30778534 gcc 應僅針對檔案範圍內的函式產生 CTF。修正在 vla 的某些類型中 Orabug 30779193 CTF 產生失敗的問題。修正 Orabug 30784275。修正 typedef 建構 ctf-3-generation-and-emission-for-a-single-compilation.patchctf-4-update-ctf-testsuite.patch 中 CTF 產生的問題 (Indu Bhagat <[email protected]> 8.3.1-4.5.0.4)
- 新增 GCC 中對於 CTF 的支援。修正 Orabug 30102948 gcc：將 CTF 產生新增至編譯器。修正 Orabug 30102949 gcc：將 CTF 產生新增至編譯器 (aarch64) ctf-1-new-function-lang_GNU_GIMPLE.patchctf-2-command-line-options- gtLEVEL.patchctf-3-generation-and-emission-for-a-single-compilation.patchctf-4-update-ctf-testsuite.patchctf-5-handle-ctf-sections-when-lto-enabled.patch (Qing Zhao <[email protected]> 8.3.1-4.5.0.3)
- CVE-2018-12207 / Intel SKX102 OL8 gcc：Intel 對於 CVE 的緩解措施：CVE-2018-12207
- 允許 -flto -Wa,-mbranches-within-32B-boundaries 將 -mbranches-within-32B-boundaries 傳遞至 GNU 組譯器。沒有要傳遞的 -lfto、-Wa、-mbranches-within-32B-boundaries
-mbranches-within-32B-boundaries 至使用現有 GCC 二進位的 GNU 組譯器。
- 緩解措施修補程式：
gcc8-Fix-Wa-with-flto.patch (Qing Zhao <[email protected]> 8.3.1-4.5.0.2)
- 修正 Orabug 29968294 - fprofile-dir=%p 的堆積損毀會使得 RDBMS 所需要的分析並行處理無法進行：
新增修補程式以修正 Gcc9 的 PR86057：
gcc9-pr86057.patch
- 修正 Orabug 30044244 - 設定檔目錄與物件檔案路徑連接。這是與 gcc 上游相同的錯誤 PR91971：
gcc9-pr85759.patch gcc10-pr91971.patch (Indu Bhagat <[email protected]> 8.3.1-4.5.0.1)
- 修正 Orabug 29599147 - 需要將 -fprofile-dir=%q{VAR} 反向移植至 gcc8。此為類似的 GCC PR47618，新增來自 GCC9 的修正：
gcc9-pr47618.patch
- 修正 Orabug 29272977 - DB 支援：需要從 GCC 轉儲內嵌報告的方法。從 GCC9 新增 -fopt-info-inline 支援：
gcc9-opt-info-inline.patch
- 修正 Orabug 29273006 - DB SUPPORT：需要關閉全域函式內嵌的方式。從 GCC9 新增 -flive-patching 支援：
gcc9-fipa-reference-addressable.patch gcc9-fipa-stack-alignment.patch gcc9-add-fomit-frame-pointer-to-test.patchgcc9-extend-live-patching-option-handling.patchgcc9-ipa-stack-alignment-386-test.patch
- 將「oracle_release」引入 .spec 檔案。將其回應至 gcc/DEV-PHASE。
- 從 https://git.theobroma-systems.com/ampere-computing/gcc.git/log/?h=gcc-8_2_0-amp3-branche18301133ea622f6d6796ded1d15466e70475cf8反向移植 17 ampre 修補程式：aarch64 的 Retpoline (Spectre-V2 緩解措施)。
d735f3ae4712f66362326d179b4d7e9332c79677: 復原 2017-10-24 Richard Biener 271e2811e59c0c77fc022fa86a7030f20b4cac8e: 更正位移的最大位移量 0512749950d927de3dd695f2f2aacdfd30cf32fd: 針對 Ampere Computing 的 eMAG 新增 CPU 支援。
c8b87078f9e0714cb9cab602e12a18ceb12df05a：eMAG/Xgene：X-Gene 的程序成本模型 74610471b3577c5d465c3fd095a65b796b1e074c：更新 xgene1 的成本表格。
ddba1553ac412be5596e6e2962c148032c4cf231：[AArch64] 新增 Xgene1 預先擷取調整。
b7ebb0a10a8900324074070188a0936ed81b28a4：[AArch64] 修正 xgene1_addrcost_table 393dc5c50d55d069f91627bf0be5bab812978850：X-Gene：調整 GCC 8 的調整結構。
b9136d58824af2118c4969c3edb42cad3318b08f：tree-ssa-list-find-pipeline：
新增清單發現的工作流程負載。
095496dd8a9491a17a9caec173281ad02e559df5: uncse：已新增復原一般子運算式的通道。
a7c8dc238e3656e9d2f9256ee76f933c8d7956fb：loop-prefetcher：調整 X-Gene 核心的預設值。
256307f293f1750851576e14c8a42b696eced2da：tree-ssa-cpp：在沒有定義 stmts 的 SSA 名稱上不會毀損。
6e32f53be4f6733f6bfe267ad2337aecaf4047f6：引入新選項 -funroll-more。
1ac2485a2fced091a5cce6343fe6a6337f850e73：繞過 aliasing-checks 的新選項。
66d7d833bece61e58998ad53a609cd32e3ee4fad：cfgloopmanip：允許強制建立迴圈預先標頭。
c4f89d50e200538b1ac8889801705300e0b27ef2：新增新通道以最佳化迴圈。
Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 216223
檔案名稱: oraclelinux_ELSA-2025-1301.nasl
版本: 1.2
類型: local
代理程式: unix
已發布: 2025/2/13
已更新: 2025/2/14
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.7
CVSS v2
風險因素: Medium
基本分數: 4.3
時間性分數: 3.6
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2020-11023
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:F/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:oracle:linux:libquadmath, cpe:/o:oracle:linux:8::baseos_latest, p-cpe:/a:oracle:linux:libgfortran-static, p-cpe:/a:oracle:linux:gcc-gfortran, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:gcc-plugin-devel, p-cpe:/a:oracle:linux:libgcc, p-cpe:/a:oracle:linux:cpp, p-cpe:/a:oracle:linux:gcc-gdb-plugin, p-cpe:/a:oracle:linux:gcc-plugin-annobin, p-cpe:/a:oracle:linux:libstdc%2b%2b-static, p-cpe:/a:oracle:linux:libgfortran, p-cpe:/a:oracle:linux:gcc, p-cpe:/a:oracle:linux:libstdc%2b%2b, p-cpe:/a:oracle:linux:liblsan, p-cpe:/a:oracle:linux:libstdc%2b%2b-docs, p-cpe:/a:oracle:linux:libitm-devel, p-cpe:/a:oracle:linux:libstdc%2b%2b-devel, p-cpe:/a:oracle:linux:gcc-c%2b%2b, cpe:/a:oracle:linux:8::appstream, cpe:/a:oracle:linux:8::codeready_builder, p-cpe:/a:oracle:linux:libatomic-static, p-cpe:/a:oracle:linux:libubsan, p-cpe:/a:oracle:linux:libquadmath-devel, p-cpe:/a:oracle:linux:gcc-offload-nvptx, p-cpe:/a:oracle:linux:libtsan, p-cpe:/a:oracle:linux:libitm, p-cpe:/a:oracle:linux:libasan, p-cpe:/a:oracle:linux:libgomp, cpe:/o:oracle:linux:8:10:baseos_patch, p-cpe:/a:oracle:linux:libquadmath-static, p-cpe:/a:oracle:linux:libatomic, p-cpe:/a:oracle:linux:libgomp-offload-nvptx
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2025/2/12
弱點發布日期: 2020/4/29
CISA 已知遭惡意利用弱點到期日: 2025/2/13
參考資訊
CVE: CVE-2020-11023