Debian セキュリティ勧告
DSA-2459-2 quagga -- 複数の脆弱性
- 報告日時:
- 2012-05-04
- 影響を受けるパッケージ:
- quagga
- 危険性:
- あり
- 参考セキュリティデータベース:
- Mitre の CVE 辞書: CVE-2012-0249, CVE-2012-0250, CVE-2012-0255.
- 詳細:
-
ラウティングデーモン Quagga に、複数の問題が発見されました。
- CVE-2012-0249
OSPFv2 実装の ospf_ls_upd_list_lsa 関数にバッファオーバフロー があり、リモートの攻撃者から length ヘッダに示されている長さ より短い Link State Update (LS Update) パケットを送ることで、 サービス拒否攻撃 (アサーション失敗によるデーモンの異常終了) が可能です。
- CVE-2012-0250
A バッファオーバフロー in the OSPFv2 実装にバッファオーバフロ ーがあり、リモートの攻撃者から length ヘッダに示されている長 さよりもデータ構造体長が短いネットワーク-LSA リンクステートア ドバタイズを含む Link State Update (LS Update) パケットを送る ことで、サービス拒否攻撃 (デーモンクラッシュ) が可能です。
- CVE-2012-0255
BGP 実装で、OPEN メッセージに対してメッセージバッファが適切に つかわれていないため、リモートの攻撃者から不正な AS4 ケーパビ リティに関連づけられたメッセージを送ることで、設定された BGP ピアを詐称してサービス拒否攻撃 (アサーション失敗によるデーモン の異常終了) が可能です。
このセキュリティ更新では quagga パッケージを最新の上流のリリースに更新 しています。このリリースでは上記以外の更新、例えば未知の BGP アトリビ ュートに対する防御の強化なども行われています。
安定版 (stable) ディストリビューション (squeeze) では、これらの問題は バージョン 0.99.20.1-0+squeeze2 で修正されています。
テスト版 (wheezy) および不安定版 (unstable) ディストリビューションでは、 これらの問題はバージョン 0.99.20.1-1 で修正されています。
直ぐに quagga パッケージをアップグレードすることを勧めます。
- CVE-2012-0249