Mandrake Linux 安全性公告：glibc (MDKSA-2000:045-1)

high Nessus Plugin ID 61837

語系：

概要

遠端 Mandrake Linux 主機遺漏一或多個安全性更新。

說明

在 ld.so 中發現可讓本機使用者取得 root 權限的錯誤。動態載入器 ld.so 負責於執行時間在程式內提供共用程式庫。通常在執行程式時會允許使用者載入其他共用程式庫，並可以環境變數指定共用程式庫，例如 LD_PRELOAD。由於 setuid root 應用程式不接受此情況，因此 ld.so 通常會為 setuid root 程式移除這些環境變數。發現的該錯誤會造成在某些情況下不會移除這些環境變數。儘管 setuid 程式本身不受影響，但其執行的外部程式還是可能受到此問題的影響。

在 glibc 地區設定和國際化安全性檢查中發現其他多個錯誤。在國際化的程式中，使用者可以使用環境變數 (例如 LANG 或 LC_*) 選取地區設定，或選擇訊息目錄。接著，這些變數的內容會當做搜尋訊息目錄或地區設定檔案所使用之路徑名稱的一部分使用。在正常情況下，如果這些變數含有 '/' 字元，程式就可以從任意目錄載入國際化檔案。setuid 程式不接受這個情況，因為如果程式是 setuid 或 setgid，glibc 就不允許使用這些變數的某些設定。不過，其中部分檢查是在不當位置完成，含有多個錯誤，或完全遺漏掉了。其中部分錯誤很有可能可以用於本機 root 惡意利用。

更新：

現已提供適用於 Linux-Mandrake 6.0 和 6.1 的套件。

解決方案

更新受影響的 glibc、glibc-devel 和/或 glibc-profile 套件。

Plugin 詳細資訊

嚴重性: High

ID: 61837

檔案名稱: mandrake_MDKSA-2000-045.nasl

版本: 1.6

類型: local

系列: Mandriva Local Security Checks

已發布: 2012/9/6

已更新: 2021/1/6

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: High

基本分數: 7.2

媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C

弱點資訊

CPE: p-cpe:/a:mandriva:linux:glibc, p-cpe:/a:mandriva:linux:glibc-devel, p-cpe:/a:mandriva:linux:glibc-profile, cpe:/o:mandrakesoft:mandrake_linux:6.0, cpe:/o:mandrakesoft:mandrake_linux:6.1

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list

修補程式發佈日期: 2000/9/7

參考資訊

CVE: CVE-2000-0824

MDKSA: 2000:045-1