It was discovered that Zookeeper, a service for maintaining configuration information, didn't restrict access to the computationally expensive wchp/wchc commands which could result in denial of service by elevated CPU consumption.

This update disables those two commands by default. The new configuration option '4lw.commands.whitelist' can be used to whitelist commands selectively (and the full set of commands can be restored with '*')

The remote Ubuntu 16.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4789-1 advisory.

  - Buffer overflow in the C cli shell in Apache Zookeeper before 3.4.9 and 3.5.x before 3.5.3, when using the     cmd: batch mode syntax, allows attackers to have unspecified impact via a long command string.
    (CVE-2016-5017)

  - Two four letter word commands wchp/wchc are CPU intensive and could cause spike of CPU utilization on     Apache ZooKeeper server if abused, which leads to the server unable to serve legitimate client requests.
    Apache ZooKeeper thru version 3.4.9 and 3.5.2 suffer from this issue, fixed in 3.4.10, 3.5.3, and later.
    (CVE-2017-5637)

  - No authentication/authorization is enforced when a server attempts to join a quorum in Apache ZooKeeper     before 3.4.10, and 3.5.0-alpha through 3.5.3-beta. As a result an arbitrary end point could join the     cluster and begin propagating counterfeit changes to the leader. (CVE-2018-8012)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

zookeeper developers report :

Two four letter word commands 'wchp/wchc' are CPU intensive and could cause spike of CPU utilization on Apache ZooKeeper server if abused, which leads to the server unable to serve legitimate client requests.
Apache ZooKeeper thru version 3.4.9 and 3.5.2 suffer from this issue, fixed in 3.4.10, 3.5.3, and later.

構成情報を維持するためのサービスであるZookeeperが、計算負荷の高いwchp/wchcコマンドへのアクセスを制限せず、その結果、CPU消費率の上昇によるサービス拒否を引き起こす可能性があることが判明しました。

今回の更新では、これらの2つのコマンドがデフォルトで無効になっています。新しい設定オプション「4lw.commands.whitelist」を使用してコマンドを選択的にホワイトリスト化することができます（コマンドのフルセットを「*」で復元できます）

リモートの Ubuntu 16.04 ESM ホストには、USN-4789-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Zookeeper の 3.4.9 より前 3.5.3 より前の 3.5.x の C cli シェルのバッファオーバーフローにより、cmd:batch モード構文で使用する際、攻撃者が、長いコマンド文字列で詳細不明な影響を引き起こす可能性があります。
    (CVE-2016-5017)

  - 4 文字の 2 つのコマンド「wchp/wchc」は CPU に負荷をかけ、悪用されると Apache ZooKeeper サーバーで CPU 使用率のスパイクを引き起こす可能性があります。そうなると、サーバーは正当なクライアントリクエストを処理できなくなります。
    バージョン3.4.9および3.5.2までのApache ZooKeeperはこの問題の影響を受けますが、3.4.10および3.5.3以降では修正されています。
    (CVE-2017-5637)

  - Apache ZooKeeper の 3.4.10 より前、3.5.0-alpha から 3.5.3-beta では、サーバーがクォーラムに参加しようとする際、認証/承認が強制されません。その結果、任意のエンドポイントがクラスターに参加しリーダーに偽造の変更を伝播し始めます。(CVE-2018-8012)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

zookeeper開発者による報告: 

2つの4文字ワードコマンド「wchp/wchc」はCPUの使用率が高いため、悪用されるとApache ZooKeeperサーバーでCPU使用率の急上昇を引き起こす可能性があります。その場合は、サーバーが正当なクライアントリクエストを処理できなくなります。
Apache ZooKeeperのバージョン3.4.9以前および3.5.2はこの問題の影響を受けますが、3.4.10と3.5.3以降では修正されています。

發現維護組態資訊的服務 Zookeeper 並未限制存取會耗用大量運算資源的 wchp/wchc 命令，可能會造成攻擊者透過提升 CPU 耗用來引發拒絕服務。此更新會預設停用這兩個命令。攻擊者可利用新的組態選項「4lw.commands.whitelist」，將命令選擇性地列入白名單 (且可使用「*」還原所有命令集)。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4789-1 公告中提及的多个漏洞影响。

  -  3.4.9 之前和 3.5.3 之前的 3.5.x 版本 Apache Zookeeper 中 C cli shell 中存在缓冲区溢出，在使用 cmd: 批次模式语法允许攻击者通过长命令字符串造成不明影响。
    (CVE-2016-5017)

  - 两个四字母词命令 wchp/wchc 是 CPU 密集型命令，如果滥用，可能会导致 Apache ZooKeeper 服务器上的 CPU 使用率激增，从而导致服务器无法服务合法的客户端请求。
    Apache ZooKeeper 3.4.9 和 3.5.2 之前的版本都存在此问题，该问题已在 3.4.10、3.5.3及更高版本中修复。
    (CVE-2017-5637)

  - 当服务器在 3.4.10 之前以及 3.5.0-alpha 到 3.5.3-beta 版本的 Apache ZooKeeper 中尝试加入 quorum 时，不会强制执行身份验证/授权。因此，任意端点都可以加入集群并开始向领导者传播伪造的更改。(CVE-2018-8012)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

已发现用于维护配置信息的服务 Zookeeper 未限制对占用大量计算资源的 wchp/wchc 命令的访问，从而可能由于 CPU 消耗增加而导致拒绝服务。此更新在默认情况下禁用这两个命令。新的配置选项“4lw.commands.whitelist”可用于有选择地将命令列入白名单（并且可以使用“*”还原整个命令集）

遠端 Ubuntu 16.04 ESM 主機上安裝的多個套件受到 USN-4789-1 公告中提及的多個弱點影響。

  - 在 Apache Zookeeper 3.4.9 之前版本以及 3.5.x 至 3.5.3 版本中，使用 cmd: 批次模式語法時，C cli 殼層中的緩衝區溢位弱點可讓攻擊者透過長命令字串造成不明影響。
    (CVE-2016-5017)

  - 兩個由四個字母組成的命令 wchp/wchc 會佔用大量 CPU，而且如果遭到濫用，可造成 Apache ZooKeeper 伺服器上的 CPU 使用率達到峰值，進而導致伺服器無法處理合法的用戶端要求。
    Apache ZooKeeper 3.4.9 之前版本以及 3.5.2 版本會受到此問題影響，但此問題已在 3.4.10、3.5.3 和更新版本中得以修正。
    (CVE-2017-5637)

  - 在 Apache ZooKeeper 3.4.10 之前版本以及 3.5.0-alpha 至 3.5.3-beta 版本中，當伺服器嘗試加入 quorum 時，不會強制執行驗證/授權。因此，任意端點可加入叢集，並開始將偽造的變更傳播至 leader。(CVE-2018-8012)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of Apache ZooKeeper listening on the remote host is prior to 3.4.10 or 3.5.x prior to 3.5.3. It is, therefore, affected by multiple vulnerabilities:

  - A buffer overflow vulnerability in the C cli shell. Using     the 'cmd:' batch mode syntax allows attackers to have an     unspecified impact via a long command string.     (CVE-2016-5017)

  - A denial of service (DoS) vulnerability exists in due to two     four letter word commands which cause CPU spikes on ZooKeeper     server. An unauthenticated, remote attacker can exploit this     issue to cause the application to stop responding.     (CVE-2017-5637)

It was discovered that Zookeeper, a service for maintaining configuration information, didn't restrict access to the computationally expensive wchp/wchc commands which could result in denial of service by elevated CPU consumption.

This update disables those two commands by default. The new configuration option '4lw.commands.whitelist' can be used to whitelist commands selectively (and the full set of commands can be restored with '*')

For Debian 7 'Wheezy', these problems have been fixed in version 3.4.5+dfsg-2+deb7u1.

We recommend that you upgrade your zookeeper packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

構成情報を維持するためのサービスであるZookeeperが、計算負荷の高いwchp/wchcコマンドへのアクセスを制限せず、その結果、CPU消費率の上昇によるサービス拒否を引き起こす可能性があることが判明しました。

今回の更新では、これらの2つのコマンドがデフォルトで無効になっています。新しい設定オプション「4lw.commands.whitelist」を使用してコマンドを選択的にホワイトリスト化することができます（コマンドのフルセットを「*」で復元できます）

Debian 7「Wheezy」では、これらの問題は、バージョン3.4.5+dfsg-2+deb7u1で修正されました。

zookeeper パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストで待機しているApache ZooKeeperのバージョンは、3.4.10より前、または3.5.3より前の3.5.xです。したがって、複数の脆弱性の影響を受けます。 - C cliシェルのバッファオーバーフローの脆弱性。「cmd:」バッチモード構文を使用すると、攻撃者が長いコマンド文字列を介して詳細不明な影響を与える可能性があります。（CVE-2016-5017）- ZooKeeperサーバーでCPUスパイクを引き起こす2つの4文字のワードコマンドにより、サービス拒否（DoS）の脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用し、アプリケーションの応答を停止させる可能性があります。（CVE-2017-5637）

發現維護組態資訊的服務 Zookeeper 並未限制存取會耗用大量運算資源的 wchp/wchc 命令，可能會造成攻擊者透過提升 CPU 耗用來引發拒絕服務。此更新會預設停用這兩個命令。攻擊者可利用新的組態選項「4lw.commands.whitelist」，將命令選擇性地列入白名單 (且可使用「*」還原所有指令集) 針對 Debian 7「Wheezy」，這些問題已在 3.4.5+dfsg-2+deb7u1 版本中修正。建議您升級 zookeeper 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上執行的 Apache ZooKeeper 版本為 3.4.10 之前版本或 3.5.3 之前的 3.5.x 版。因此受到多個弱點影響：- C cli 殼層中有一個緩衝區溢位弱點。使用「cmd:」批次模式語法可讓攻擊者透過長命令字串造成不明影響。(CVE-2016-5017) - 有一個拒絕服務 (DoS) 弱點，這是因為兩個會造成 ZooKeeper 伺服器上的 CPU 使用量突增的四字母命令所致。未經驗證的遠端攻擊者可惡意利用此問題，造成應用程式停止回應。(CVE-2017-5637)

远程主机上侦听的 Apache ZooKeeper 版本低于 3.4.10，或是低于 3.5.3 的 3.5.x。因而受到多个漏洞的影响：- C cli shell 中存在缓冲区溢出漏洞。使用“cmd:”批次模式语法允许攻击者通过长命令字符串造成不明影响。(CVE-2016-5017) - 存在拒绝服务 (DoS) 漏洞，这是因为两个会造成 ZooKeeper 服务器上的 CPU 使用量突增的四字母命令所致。未经身份验证的远程攻击者可利用此问题造成应用程序停止响应。(CVE-2017-5637)

已发现用于维护配置信息的服务 Zookeeper 未限制对占用大量计算资源的 wchp/wchc 命令的访问，从而可能由于 CPU 消耗增加而导致拒绝服务。此更新在默认情况下禁用这两个命令。新的配置选项“4lw.commands.whitelist”可用于有选择地将命令列入白名单（并且可以使用“*”还原整个命令集） 对于 Debian 7“Wheezy”，这些问题已在版本 3.4.5+dfsg-2+deb7u1 中修复。建议您升级 zookeeper 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
100579	Debian DSA-3871-1 : zookeeper - security update	Nessus	Debian Local Security Checks	2017/6/2	2021/1/11	high
183528	Ubuntu 16.04 ESM : Apache ZooKeeper vulnerabilities (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
103762	FreeBSD : zookeeper -- Denial Of Service (af61b271-9e47-4db0-a0f6-29fb032236a3)	Nessus	FreeBSD Local Security Checks	2017/10/11	2021/1/4	high
100579	Debian DSA-3871-1: zookeeper - セキュリティ更新	Nessus	Debian Local Security Checks	2017/6/2	2021/1/11	high
183528	Ubuntu 16.04 ESM: Apache ZooKeeper の脆弱性 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
103762	FreeBSD: zookeeper -- サービス拒否（af61b271-9e47-4db0-a0f6-29fb032236a3）	Nessus	FreeBSD Local Security Checks	2017/10/11	2021/1/4	high
100579	Debian DSA-3871-1：zookeeper - 安全性更新	Nessus	Debian Local Security Checks	2017/6/2	2021/1/11	high
183528	Ubuntu 16.04 ESM：Apache ZooKeeper 漏洞 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
100579	Debian DSA-3871-1：zookeeper - 安全更新	Nessus	Debian Local Security Checks	2017/6/2	2021/1/11	high
183528	Ubuntu 16.04 ESM：Apache ZooKeeper 弱點 (USN-4789-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 Multiple Vulnerabilities	Nessus	Misc.	2019/5/31	2023/10/20	high
100816	Debian DLA-986-1 : zookeeper security update	Nessus	Debian Local Security Checks	2017/6/16	2021/1/11	high
100816	Debian DLA-986-1: zookeeper セキュリティ更新	Nessus	Debian Local Security Checks	2017/6/16	2021/1/11	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10/3.5.x < 3.5.3の複数の脆弱性	Nessus	Misc.	2019/5/31	2023/10/20	high
100816	Debian DLA-986-1：zookeeper 安全性更新	Nessus	Debian Local Security Checks	2017/6/16	2021/1/11	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 多個弱點	Nessus	Misc.	2019/5/31	2023/10/20	high
125634	Apache ZooKeeper 3.4.0 < 3.4.10 / 3.5.x < 3.5.3 多个漏洞	Nessus	Misc.	2019/5/31	2023/10/20	high
100816	Debian DLA-986-1：zookeeper 安全更新	Nessus	Debian Local Security Checks	2017/6/16	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high