MiracleLinux 7binutils-2.23.52.0.1-55.el7 (AXSA:2015-717:01)
high Nessus Plugin ID 288890
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2015-717:01 公告中所提及。Binutils 是二進位公用程式的集合包括 ar (用於建立、修改和擷取封存)、as (GNU 組合器系列)、gprof (用於顯示呼叫圖形設定檔資料)、ld (GNU 連結器)、nm (用於物件檔案中的清單符號)、objcopy (用於復制和翻譯物件檔案)、objdump (用於顯示來自物件檔案的資訊)、ranlib (用於產生封存內容的索引)、readelf (用於顯示有關二進位檔案的詳細資訊) )、size (用於列出物件或封存檔案的區段大小)、strings (用於列出檔案中的可列印字串)、strip (用於捨棄符號)以及 addr2line (用於將地址轉換為檔案和行)。
此版本修正的安全性問題
CVE-2014-84842.25 在之前的 GNU binutils 中libdbfd 內 bfd/srec.c 的 srec_scan 函式允許遠端攻擊者透過小型 S-record 造成拒絕服務 (超出邊界讀取)。
CVE-2014-8485 在 GNU binutils 2.24 和更舊版本中libbfd 內 bfd/elf.c 的 setup_group 函式允許遠端攻擊者透過 ELF 檔案中的特製區段群組標頭造成拒絕服務 (當機) 且可能執行任意程式碼。
CVE-2014-8501 在 GNU binutils 2.24 和更舊版本中bfd/peXXigen.c 的 _bfd_XXi_swap_aouthdr_in 函式允許遠端攻擊者透過 AOUT 標頭中的特製 NumberOfRvaAndSizes 欄位造成拒絕服務 (超出邊界寫入) 且可能帶來其他不明影響PE 可執行檔中。
CVE-2014-8502 在 GNU binutils 2.24 和更舊版本中bfd/peXXigen.c 的 pe_print_edata 函式存在堆積型緩衝區溢位允許遠端攻擊者透過 PE 中截斷的匯出表格造成拒絕服務 (當機) 且可能帶來其他不明影響檔案。
CVE-2014-8503 在 GNU binutils 2.24 和更舊版本中bfd/ihex.c 的 ihex_scan 函式存在堆疊型緩衝區溢位會允許遠端攻擊者透過特製的 ihex 檔案造成拒絕服務 (當機) 且可能帶來其他不明影響。
CVE-2014-8504 在 GNU binutils 2.24 和更舊版本中bfd/srec.c 的 srec_scan 函式存有堆疊型緩衝區溢位問題允許遠端攻擊者透過特製檔案造成拒絕服務 (當機) 且可能帶來其他不明影響。
CVE-2014-8737 GNU binutils 2.24 和更舊版本中的多個目錄遊走弱點允許本機使用者透過 .. (點點) 刪除任意檔案或在封存中執行完整路徑名稱以便 (1) 去除或 (2) objcopy 或透過(3) 執行至 ar 的封存中的 .. (點點) 或完整路徑名稱。
CVE-2014-8738 在 GNU binutils 2.24 和之前版本中bfd/archive.c 的 _bfd_slurp_extended_name_table 函式允許遠端攻擊者透過封存中的特製延伸名稱表格造成拒絕服務 (無效寫入、分割錯誤和當機)。
修正的錯誤：
* 即使在建置應用程式時已明確要求應設有重新配置唯讀 (RELRO) 保護，但由系統載入器啟動的二進位檔案仍可能缺少該保護限制。已在多個架構中修正此錯誤。使用 alpha 或 beta 版 binutils 構建的應用程式，以及所有相依物件檔案、封存和程式庫都應重建，以修正此缺失。
* 64 位元 PowerPC 的 ID 連結器收到要求產生與 PowerPC 格式不同的二進位時，現已可正確檢查輸出格式。
* 現已將一個重要變數設為永久項目，該變數保有要除錯之二進位的符號表格，且 64 位元 PowerPC 上的 objdump 公用程式現可直接存取所需的資訊，不用再讀取無效的記憶體區域。
* RHBA-2015:0974 中所述不需要的運行時間重新配置。
增強功能：
* 組合器、反組譯工具和連結器，以及單一指示多重資料 (SIMD) 指示現已支援 IBM z Systems z13 的硬體指示。
* PowerPC 組合器現在支援 FUNC@localentry 形式的運算式參照 FUNC 函式 (若已定義) 的本機進入點。這些是 IBM Power 系統中，little-endian 變數上的 ELFv2 ABI 要求具備的。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 binutils 和/或 binutils-devel 套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 288890
檔案名稱: miracle_linux_AXSA-2015-717.nasl
版本: 1.1
類型: local
已發布: 2026/1/16
已更新: 2026/1/16
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: High
基本分數: 7.5
時間性分數: 5.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2014-8504
CVSS v3
風險因素: High
基本分數: 7.8
時間性分數: 7
媒介: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2014-8501
弱點資訊
CPE: cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:binutils, p-cpe:/a:miracle:linux:binutils-devel
必要的 KB 項目: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2015/11/24
弱點發布日期: 2014/10/23
參考資訊
CVE: CVE-2014-8484, CVE-2014-8485, CVE-2014-8501, CVE-2014-8502, CVE-2014-8503, CVE-2014-8504, CVE-2014-8737, CVE-2014-8738