This update patches the bundled copy of libltdl library which was vulnerable to CVE-2009-3736.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Updated gcc and gcc4 packages that fix one security issue are now available for Red Hat Enterprise Linux 3, 4, and 5.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

The gcc and gcc4 packages include, among others, C, C++, and Java GNU compilers and related support libraries. libgcj contains a copy of GNU Libtool's libltdl library.

A flaw was found in the way GNU Libtool's libltdl library looked for libraries to load. It was possible for libltdl to load a malicious library from the current working directory. In certain configurations, if a local attacker is able to trick a local user into running a Java application (which uses a function to load native libraries, such as System.loadLibrary) from within an attacker-controlled directory containing a malicious library or module, the attacker could possibly execute arbitrary code with the privileges of the user running the Java application. (CVE-2009-3736)

All gcc and gcc4 users should upgrade to these updated packages, which contain a backported patch to correct this issue. All running Java applications using libgcj must be restarted for this update to take effect.

Multiple security vulnerabilities has been identified and fixed in xmlsec1 :

A missing check for the recommended minimum length of the truncated form of HMAC-based XML signatures was found in xmlsec1 prior to 1.2.12. An attacker could use this flaw to create a specially crafted XML file that forges an XML signature, allowing the attacker to bypass authentication that is based on the XML Signature specification (CVE-2009-0217).

All versions of libtool prior to 2.2.6b suffers from a local privilege escalation vulnerability that could be exploited under certain conditions to load arbitrary code (CVE-2009-3736).

Packages for 2008.0 are provided for Corporate Desktop 2008.0 customers

This update fixes this vulnerability.

CVE-2009-3736 libtool：libltdl がカレントディレクトリの中のライブラリからコードをロードして実行する可能性があります。

GNU Libtool の libltdl ライブラリでロードするライブラリを検索する方法に欠陥が見つかりました。libltdl が、現在の作業ディレクトリから悪意のあるライブラリをロードする可能性がありました。特定の構成では、ローカルの攻撃者がローカルユーザーを騙して、悪意のあるライブラリまたはモジュールが含まれた、自身のコントロール下にあるディレクトリ内から（System.loadLibrary などのネイティブライブラリをロードする機能を使用して）Java アプリケーションを実行させることが可能な場合に、Java アプリケーションを実行するユーザーの権限で、任意のコードを実行する可能性があります。（CVE-2009-3736）

この更新を有効にするには、libgcj を使用する実行中のすべての Java アプリケーションを再起動する必要があります。

システム libltdl に対して再構築されました。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

libtool：libltdl が現在の作業ディレクトリからモジュールをロードする場合があります。
CVE-2009-3736 がこの問題に割り当てられました。

1 つのセキュリティの問題を修正する更新済み gcc および gcc4 パッケージが Red Hat Red Hat Enterprise Linux 3、4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

gcc および gcc4 パッケージには C、C++、Java GNU の各コンパイラおよび関連するサポートライブラリが含まれています。 libgcj には GNU Libtool の libltdl ライブラリのコピーが含まれています。

GNU Libtool の libltdl ライブラリでロードするライブラリを検索する方法に欠陥が見つかりました。libltdl が、現在の作業ディレクトリから悪意のあるライブラリをロードする可能性がありました。特定の構成では、ローカルの攻撃者がローカルユーザーを騙して、悪意のあるライブラリまたはモジュールが含まれた、自身のコントロール下にあるディレクトリ内から（System.loadLibrary などのネイティブライブラリをロードする機能を使用して）Java アプリケーションを実行させることが可能な場合に、Java アプリケーションを実行するユーザーの権限で、任意のコードを実行する可能性があります。（CVE-2009-3736）

すべての gcc および gcc4 ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。この更新を有効にするには、libgcj を使用する実行中のすべての Java アプリケーションを再起動する必要があります。

この更新により、Gnash は、CVE-2009-3736 に脆弱なバンドルされたコピーの代わりに、libltdl ライブラリのシステム版を使用するようになります。CVE-2009-3736 を修正するシステム libltdl の更新が、2009 年 12 月 21 日に公表されました。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

mingw32-libltdl（複数のシステムに向けてクロスコンパイルの環境で開発されている特性から）が実際に CVE-2009-3736 の影響を受けるかは不明ですが、全てが修正されていることを確認する必要があります。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

この更新では、CVE-2009-3736 に対して脆弱な libltdl ライブラリのバンドルしたコピーをパッチします。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - GNU Libtool 1.5.x、 2.2.6 の libltdl.c は、Ham Radio Control Libraries、Q、およびその他の製品で使用されている 2.2.6b より前のバージョンでは、現在の作業ディレクトリで .la ファイルを開こうとします。これにより、ローカルユーザーがトロイの木馬ファイルを介して権限を取得する可能性があります。 （CVE-2009-3736）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Oracle Linux 5 ホストに、ELSA-2010-0039 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    [4.1.2-46.el5_4.2]
    - 現在の作業ディレクトリまたはそのサブディレクトリから *.la/dlopening *.so ファイルが開かれないように libjava を修正します#545672、 CVE-2009-3736

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
47307	Fedora 11 : esorex-3.7.2-3.fc11 (2010-3314)	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
43882	RHEL 3 / 4 / 5 : gcc and gcc4 (RHSA-2010:0039)	Nessus	Red Hat Local Security Checks	2010/1/14	2021/1/14	medium
43021	Mandriva Linux Security Advisory : xmlsec1 (MDVSA-2009:318)	Nessus	Mandriva Local Security Checks	2009/12/7	2021/1/6	medium
60722	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 での gcc および gcc4	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
52539	Fedora 14：q-7.11-8.fc14（2011-1967）	Nessus	Fedora Local Security Checks	2011/3/4	2021/1/11	medium
43629	openSUSE セキュリティ更新：libltdl-3（libltdl-3-1638）	Nessus	SuSE Local Security Checks	2010/1/5	2021/1/14	medium
43634	SuSE 10 セキュリティ更新：libtool（ZYPP パッチ番号 6678）	Nessus	SuSE Local Security Checks	2010/1/5	2021/1/14	medium
43882	RHEL 3 / 4 / 5：gcc および gcc4（RHSA-2010:0039）	Nessus	Red Hat Local Security Checks	2010/1/14	2021/1/14	medium
47274	Fedora 11：nash-0.8.6-13.fc11（2010-1833）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47296	Fedora 11：mingw32-libltdl-1.5.26-17.fc11（2010-2943）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47301	Fedora 12：esorex-3.7.2-5.fc12（2010-3216）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47307	Fedora 11：esorex-3.7.2-3.fc11（2010-3314）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
217129	Linux Distros のパッチ未適用の脆弱性: CVE-2009-3736	Nessus	Misc.	2025/3/3	2025/3/3	critical
67985	Oracle Linux 5gcc / および / gcc4ELSA-2010-0039	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical

critical