Säkerhetsbulletin från Debian

DSA-3480-1 eglibc -- säkerhetsuppdatering

Rapporterat den:
2016-02-16
Berörda paket:
eglibc
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 779587, Fel 796105, Fel 798316, Fel 801691, Fel 803927, Fel 812441, Fel 812445, Fel 812455.
I Mitres CVE-förteckning: CVE-2014-8121, CVE-2015-1781, CVE-2015-7547, CVE-2015-8776, CVE-2015-8777, CVE-2015-8778, CVE-2015-8779.
Ytterligare information:

Flera sårbarheter har rättats i GNU C-biblioteket eglibc.

Sårbarheten CVE-2015-7547 som listas nedan anses ha kritisk inverkan.

  • CVE-2014-8121

    Robin Hack upptäckte att nss_files-databsen inte implementerar numrering inflätat med namn- eller ID-baserad look-up korrekt. Detta kunde orsaka numreringen att gå in i en oändlig loop, eller leda till överbelastning.

  • CVE-2015-1781

    Arjun Shankar upptäckte att _r-varianterna av funktionerna för uppslagning av värdnamn (som gethostbyname_r), vid utförande av DNS-namnuppslagning led av ett buffertspill om en felaktigt justerad buffer tillhandahölls av applikationen, vilket leder till en krasch, eller potentiellt körning av godtycklig kod. De flesta applikationer påverkas inte av denna sårbarhet eftersom de använder justerade buffertar.

  • CVE-2015-7547

    Googles säkerhetsgrupp och Red Hat upptäckte att eglibcs värdnamnsresolverfunktion, getaddrinfo, kunde hantera sina interna buffertar felaktigt vid behandling av AF_UNSPEC-förfrågningar (för dubbla A/AAAA-uppslagningar), vilket kan leda till ett stackbaserat buffertspill och körning av godtycklig kod. Denna sårbarhet påverkar de flesta applikationer som utför uppslag av värdnamn med hjälp av getaddrinfo, inklusive systemtjänster.

  • CVE-2015-8776

    Adam Nielsen upptäckte att om ett ogiltigt sepererat tidsvärde skickas till strftime, kunde strftime-funktionen krascha eller läcka information. Applikationer skickar normalt endast giltig tidsinformation till strftime; inga applikationer som påverkas är kända.

  • CVE-2015-8777

    Hector Marco-Gisbert rapporterade att LD_POINTER_GUARD inte ignorerades för SUID-program, vilket aktiverar en oavsiktlig förbigång av en säkerhetsfunktion. Denna uppdatering får eglibc att alltid ignorera miljövariabeln LD_POINTER_GUARD.

  • CVE-2015-8778

    Szabolcs Nagy rapporterade att de sällan använda funktionerna hcreate och hcreate_r inte kontrollerade storleksargumentet ordentligt, vilket leder till en krasch (överbelastning) för vissa argument. Inga kända påverkade applikationer är kända vid denna tidpunkt.

  • CVE-2015-8779

    Funktionen catopen innehåller flera stackallokeringar utan gränskontroller (stackspill), vilket orsakar den att krascha processen (överbelastning). Inga applikationer är kända vid detta tillfälle där detta problem är ett säkerhetsproblem.

Följande rättade sårbarheter saknar för närvarande CVE-tilldelning:

  • Joseph Myers rapporterade att ett heltalsspill i strxfrm kan leda till ett heapbaserat buffertspill, vilket i sin tur möjligen kan tillåta körning av godtycklig kod. Utöver detta använder en fallback-sökväg i strxfrm en obegränsad stackallokering (stackspill), vilket leder till krasch eller felaktigt applikationsbeteende.

  • Kostya Serebryany rapporterade att funktionen fnmatch kunde hoppa över det avslutande NUL-tecknet i ett felaktigt formatterat mönster, vilket orsakar en applikation som anropar fnmatch att krascha (överbelastning).

  • Joseph Myers rapporterade att funktionen IO_wstr_overflow som används internt av wide-orienterade teckenströmmar, led av ett heltalsspill, vilket leder till heap-baserat buffertspill. På GNU/Linux-system används wide-orienterade strömmar sällan, och inga påverkade applikationer är kända.

  • Andreas Schwab rapporterade ett minnesläckage (minnesallokering utan en matchande deallokering) vid behandling av vissa DNS-svar i getaddrinfo, relaterade till funktionen _nss_dns_gethostbyname4_r. Denna sårbarhet kunde leda till en överbelastning.

Medan det endast är nödvändigt att säkerställa att alla processer inte använder den gamla eglibc längre, rekommenderas det att starta om maskinerna efter man har applicerat säkerhetsuppdateringen.

För den gamla stabila utgåvan (Wheezy) har dessa problem rättats i version 2.13-38+deb7u10.

Vi rekommenderar att ni uppgraderar era eglibc-paket.