GLSA-201602-02：GNU C 程式庫：多個弱點

critical Nessus Plugin ID 88822

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201602-02 中所述的弱點影響 (GNU C 程式庫：多個弱點)

在 GNU C 程式庫中發現多個弱點：
Google 安全性團隊和 Red Hat 發現，send_dg() 和 send_vc() 函式存有一個堆疊型緩衝區溢位，這是因為以 AF_UNSPEC 呼叫 getaddrinfo() 時不當管理緩衝區所導致 (CVE-2015-7547)。
傳遞超出範圍的資料時 strftime() 函式存取無效記憶體，進而導致當機 (CVE-2015-8776)。
在 __hcreate_r() 函式中發現一個整數溢位 (CVE-2015-8778)。
在 catopen() 函式中發現多個無限制堆疊配置 (CVE-2015-8779)。
請參閱下列所述 CVE，瞭解已在舊版 sys-libs/glibc (先前未發出 GLSA) 中修正的其他弱點。
影響：

遠端攻擊者可惡意利用使用 getaddrinfo() 執行主機名稱解析的任何應用程式，進而執行任意程式碼或損毀應用程式。其他弱點可能遭惡意利用來造成拒絕服務或洩漏資訊。
因應措施：

已發現多個可減輕 CVE-2015-7547 風險的因素。
請參閱上游公告和下方參照。

解決方案

所有 GNU C 程式庫使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=sys-libs/glibc-2.21-r2' 請務必確認已沒有任何執行中的處理程序使用舊版 glibc。更新 sys-libs/glibc 套件後重新開機，是進行此確認的最簡單方式。
請注意：更新時若發生編譯失敗情形，請參閱錯誤 574948。