Scientific Linux 安全性更新:SL6.x i386/x86_64 上的 glibc

medium Nessus Plugin ID 71193
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

描述

在 glibc 的記憶體配置器函式 (pvalloc、 valloc 和 memalign) 中找到多個整數溢位瑕疵,可能會導致堆積型緩衝區溢位。如果應用程式使用了這類函式,可導致應用程式損毀,或可能讓攻擊者以執行該應用程式之使用者的權限,執行任意程式碼。(CVE-2013-4332)

在處理多位元組字元輸入的規則運算式比對常式中發現一個瑕疵。如果應用程式利用 glibc 規則運算式比對機制,攻擊者可提供特製的輸入,在處理時,可能會使應用程式損毀。(CVE-2013-0242)

據發現,getaddrinfo() 無法限制名稱解析期間使用的堆疊記憶體量。能夠讓應用程式解析攻擊者控制之主機名稱或 IP 位址的攻擊者可能使應用程式耗盡所有堆疊記憶體,並造成當機。(CVE-2013-1914)

除了其他變更,此更新還包含下列錯誤的重要修正:

- 由於 Scientific Linux 6.0 中 getaddrinfo() 系統呼叫初始版本中有一個缺失,從 /etc/hosts 檔案解析出的 AF_INET 和 AF_INET6 查詢,將查詢名稱傳回為正式名稱。但是系統仍將此錯誤行為視為預期中的行為。由於最近的一項 getaddrinfo() 變更,AF_INET6 查詢已開始正確解析正式名稱。然而,對於仰賴從 /etc/hosts 檔案解析查詢的應用程式而言,此行為仍在預期之外,且這些應用程式可因此而無法正常運作。此更新套用了修正,可確保從 /etc/hosts 解析的 AF_INET6 查詢一律將查詢的名稱傳回為正式名稱。請注意,DNS 查閱可正確解析,且一律傳回正確的正式名稱。
從 /etc/hosts 解析的 AF_INET6 查詢之適當修正,可能適用於未來版本;目前,由於缺少標準,Red Hat 建議將 /etc/hosts 檔案中的第一個項目 (用於解析的 IP 位址) 視為正式項目。

解決方案

更新受影響的套件。

另請參閱

http://www.nessus.org/u?5ae8b87b

Plugin 詳細資訊

嚴重性: Medium

ID: 71193

檔案名稱: sl_20131121_glibc_on_SL6_x.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2013/12/4

已更新: 2021/1/14

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 5

媒介: AV:N/AC:L/Au:N/C:N/I:N/A:P

弱點資訊

CPE: p-cpe:/a:fermilab:scientific_linux:glibc, p-cpe:/a:fermilab:scientific_linux:glibc-common, p-cpe:/a:fermilab:scientific_linux:glibc-debuginfo, p-cpe:/a:fermilab:scientific_linux:glibc-debuginfo-common, p-cpe:/a:fermilab:scientific_linux:glibc-devel, p-cpe:/a:fermilab:scientific_linux:glibc-headers, p-cpe:/a:fermilab:scientific_linux:glibc-static, p-cpe:/a:fermilab:scientific_linux:glibc-utils, p-cpe:/a:fermilab:scientific_linux:nscd, x-cpe:/o:fermilab:scientific_linux

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list

修補程式發佈日期: 2013/11/21

弱點發布日期: 2013/2/8

參考資訊

CVE: CVE-2013-0242, CVE-2013-1914, CVE-2013-4332