This update for libmicrohttpd fixes the following issues :

  - CVE-2013-7038: The MHD_http_unescape function in     libmicrohttpd might have allowed remote attackers to     obtain sensitive information or cause a denial of     service (crash) via unspecified vectors that trigger an     out-of-bounds read. (bsc#854443)

  - CVE-2013-7039: Stack-based buffer overflow in the     MHD_digest_auth_check function in libmicrohttpd, when     MHD_OPTION_CONNECTION_MEMORY_LIMIT is set to a large     value, allowed remote attackers to cause a denial of     service (crash) or possibly execute arbitrary code via a     long URI in an authentication header. (bsc#854443)

  - Fixed various bugs found during a 2017 audit, which are     more hardening measures and not security issues.
    (bsc#1041216)

This update was imported from the SUSE:SLE-12:Update update project.

このlibmicrohttpdの更新では、次の問題が修正されます：

  - CVE-2013-7038：libmicrohttpdのMHD_http_unescape関数により、リモート攻撃者が、領域外読み取りを引き起こす詳細不明なベクトルを介して、機密情報を取得したり、サービス拒否（クラッシュ）を引き起こしたりする可能性があります。（bsc#854443）

  - CVE-2013-7039：libmicrohttpdのMHD_digest_auth_check関数のスタックベースのバッファオーバーフローにより、リモート攻撃者が、MHD_OPTION_CONNECTION_MEMORY_LIMITが大きな値に設定されているときに、認証ヘッダー内の長いURIを介して、サービス拒否（クラッシュ）を引き起こしたり、任意のコードを実行したりする可能性があります。（bsc#854443）

  - 2017年の監査で見つかったさまざまなバグを修正しました。これらは、セキュリティ問題ではなく、より強化された手段です。
    （bsc#1041216）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

This update for libmicrohttpd fixes the following issues :

  - CVE-2013-7038: The MHD_http_unescape function in     libmicrohttpd might have allowed remote attackers to     obtain sensitive information or cause a denial of     service (crash) via unspecified vectors that trigger an     out-of-bounds read. (bsc#854443)

  - CVE-2013-7039: Stack-based buffer overflow in the     MHD_digest_auth_check function in libmicrohttpd, when     MHD_OPTION_CONNECTION_MEMORY_LIMIT is set to a large     value, allowed remote attackers to cause a denial of     service (crash) or possibly execute arbitrary code via a     long URI in an authentication header. (bsc#854443)

  - Fixed various bugs found during a 2017 audit, which are     more hardening measures and not security issues.
    (bsc#1041216)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Stack-based buffer overflow in the MHD_digest_auth_check function in libmicrohttpd before 0.9.32, when MHD_OPTION_CONNECTION_MEMORY_LIMIT is set to a large value, allows remote attackers to cause a denial of service (crash) or possibly execute arbitrary code via a long URI in an authentication header.

The MHD_http_unescape function in libmicrohttpd before 0.9.32 might allow remote attackers to obtain sensitive information or cause a denial of service (crash) via unspecified vectors that trigger an out-of-bounds read.

The remote host is affected by the vulnerability described in GLSA-201402-01 (GNU libmicrohttpd: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in GNU libmicrohttpd.
      Please review the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could execute arbitrary code with the privileges of       the process, cause a Denial of Service condition, or obtain sensitive       information.
  Workaround :

    There is no known workaround at this time.

遠端主機受到 GLSA-201402-01 中所述的弱點影響 (GNU libmicrohttpd：多個弱點)

    在 GNU libmicrohttpd 中發現多個弱點。
      如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能以處理程序的權限執行任意程式碼、導致拒絕服務情形或取得敏感資訊。
  因應措施：

    目前尚無已知的因應措施。

在 0.9.32 版之前的 libmicrohttpd 中，MHD_digest_auth_check 函式存有堆疊型緩衝區溢位，MHD_OPTION_CONNECTION_MEMORY_LIMIT 設為大型值時，允許遠端攻擊者在驗證標頭中使用長 URI，從而造成拒絕服務 (當機)，或可能執行任意程式碼。

在 0.9.32 版之前的 libmicrohttpd 中，MHD_http_unescape 函式可能允許遠端攻擊者透過不明向量觸發超出邊界讀取，從而取得敏感資訊或造成拒絕服務 (當機)。

MHD_OPTION_CONNECTION_MEMORY_LIMIT 设置为非常大的值时，在 libmicrohttpd 0.9.32 之前的版本中，MHD_digest_auth_check 函数中基于堆栈的缓冲区溢出，允许远程攻击者通过认证标头中的长 URI 来造成拒绝服务（崩溃）或者可能执行任意代码。

在 libmicrohttpd 0.9.32 之前的版本中，MHD_http_unescape 函数可能允许远程攻击者通过可触发越界读取的不明矢量来获取敏感信息或造成拒绝服务（崩溃）。

远程主机受到 GLSA-201402-01 中所述漏洞的影响（GNU libmicrohttpd：多个漏洞）

    已在 GNU libmicrohttpd 中发现多种漏洞。
      请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可以进程的权限执行任意代码、造成拒绝服务情况，或者获取敏感信息。
  变通方案：

    目前无任何已知的变通方案。

0.9.32 以前の libmicrohttpd の MHD_digest_auth_check 関数のスタックベースのバッファオーバーフローにより、MHD_OPTION_CONNECTION_MEMORY_LIMIT が大きな値に設定されているとき、認証ヘッダーの中の長い URI を介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こしたり、任意のコードを実行したりする可能性があります。

0.9.32 以前の libmicrohttpd の MHD_http_unescape 関数により、詳細不明なベクトルを介して領域外読み取りを発生させることで、リモートの攻撃者が機密情報を取得したり、サービス拒否 (クラッシュ) を引き起こす可能性があります。

このlibmicrohttpdの更新では、次の問題が修正されます：

  - CVE-2013-7038：libmicrohttpdのMHD_http_unescape関数により、リモート攻撃者が、領域外読み取りを引き起こす詳細不明なベクトルを介して、機密情報を取得したり、サービス拒否（クラッシュ）を引き起こしたりする可能性があります。（bsc#854443）

  - CVE-2013-7039：libmicrohttpdのMHD_digest_auth_check関数のスタックベースのバッファオーバーフローにより、リモート攻撃者が、MHD_OPTION_CONNECTION_MEMORY_LIMITが大きな値に設定されているときに、認証ヘッダー内の長いURIを介して、サービス拒否（クラッシュ）を引き起こしたり、任意のコードを実行したりする可能性があります。（bsc#854443）

  - 2017年の監査で見つかったさまざまなバグを修正しました。これらは、セキュリティ問題ではなく、より強化された手段です。
    （bsc#1041216）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201402-01 で説明されている脆弱性の影響を受けます（GNU libmicrohttpd：複数の脆弱性）

GNU libmicrohttpd に複数の脆弱性が発見されています。
 詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者は、プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたり、機密情報を入手したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名稱	產品	系列	已發布	已更新	嚴重性
101130	openSUSE Security Update : libmicrohttpd (openSUSE-2017-728)	Nessus	SuSE Local Security Checks	2017/6/30	2021/1/19	medium
101130	openSUSEセキュリティ更新プログラム：libmicrohttpd（openSUSE-2017-728）	Nessus	SuSE Local Security Checks	2017/6/30	2021/1/19	medium
100864	SUSE SLES12 Security Update : libmicrohttpd (SUSE-SU-2017:1576-1)	Nessus	SuSE Local Security Checks	2017/6/19	2021/1/6	medium
78296	Amazon Linux AMI : libmicrohttpd (ALAS-2014-353)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
72254	GLSA-201402-01 : GNU libmicrohttpd: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2014/2/3	2021/1/6	medium
72254	GLSA-201402-01 : GNU libmicrohttpd：多個弱點	Nessus	Gentoo Local Security Checks	2014/2/3	2021/1/6	medium
78296	Amazon Linux AMI：libmicrohttpd (ALAS-2014-353)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
78296	Amazon Linux AMI：libmicrohttpd (ALAS-2014-353)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
72254	GLSA-201402-01 : GNU libmicrohttpd：多个漏洞	Nessus	Gentoo Local Security Checks	2014/2/3	2021/1/6	medium
78296	Amazon Linux AMI：libmicrohttpd (ALAS-2014-353)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
100864	SUSE SLES12セキュリティ更新プログラム：libmicrohttpd（SUSE-SU-2017:1576-1）	Nessus	SuSE Local Security Checks	2017/6/19	2021/1/6	medium
72254	GLSA-201402-01：GNU libmicrohttpd：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/2/3	2021/1/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium