GLSA-201701-31：flex：潛在不安全程式碼產生

critical Nessus Plugin ID 96425

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201701-31 中所述的弱點影響 (flex：潛在不安全程式碼產生)

Flex 的 yy_get_next_buffer 函式中有堆積型緩衝區溢位情形，內容相依的攻擊者可藉以透過與 num_to_read 相關的向量來造成拒絕服務，或可能執行任意程式碼。
影響：

內容相依的攻擊者可能會造成拒絕服務情形，或可能以處理程序的權限執行任意程式碼。
因應措施：

目前尚無已知的因應措施。

解決方案

所有 flex 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=sys-devel/flex-2.6.1' 與 flex 相依的套件可能需要重新編譯。諸如 qdepends 此類工具 (包括在 app-portage/portage-utils 中) 可能有助於識別下列套件：
# emerge --oneshot --ask --verbose $(qdepends -CQ sys-devel/flex | sed 's/^/=/')