※追記すべき情報がある場合には、その都度このページを更新する予定です。
概要
多くの Linux ディストリビューションに含まれるライブラリである The GNU C Library (以下、glibc) にバッファオーバーフローの脆弱性が存在します。この脆弱性を悪用された場合、アプリケーションの異常終了や、任意のコードが実行可能になる可能性があります。
この脆弱性は、ソフトウェアが glibc を使用している場合に影響を受ける可能性がありますが、実際に影響を受けるかどうかは 該当するソフトウェアにおける glibc の使用方法に依存します。なお、本脆弱性は、gethostbyname 関数に問題があるとの情報(*1)があります。
また、現時点では本脆弱性を悪用した攻撃が行われたという情報はありませんが、今後、攻撃される可能性がありますので、サーバ管理者は対策の実施を検討してください。
図：脆弱性を悪用した攻撃のイメージ
対象
- glibc 2.2 から 2.17 までのバージョン
対策
OS ベンダ等から提供されているアップデート、修正プログラム、パッチ等を適用してください。詳しくは、各ベンダへ確認ください。
参考情報
-
JVNVU#99234709
https://jvn.jp/vu/JVNVU99234709/index.html -
Qualys Security Advisory CVE-2015-0235
https://www.qualys.com/research/security-advisories/GHOST-CVE-2015-0235.txt -
RHSA-2015:0090-1
https://rhn.redhat.com/errata/RHSA-2015-0090.html -
RHSA-2015:0092-1
https://rhn.redhat.com/errata/RHSA-2015-0092.html -
eglibc package : Ubuntu
https://launchpad.net/ubuntu/+source/eglibc -
CVE-2015-0235
https://security-tracker.debian.org/tracker/CVE-2015-0235 -
Linuxに存在する脆弱性「GHOST」、システム管理者は落ち着いて対処を | トレンドマイクロ セキュリティブログ
http://blog.trendmicro.co.jp/archives/10818 -
[exim-announce] Exim vector for glibc vulnerability
https://lists.exim.org/lurker/message/20150127.200135.056f32f2.en.html
脚注
(*1) Qualys Security Advisory の「3 - Mitigating factors」によると、問題を緩和する要素として、次の点を挙げています。
- gethostbyname 関数は、IPv6 の登場によりあまり利用されなくなっている。
- 多くのソフトウェアでは悪用が困難である
本件に関するお問い合わせ先
IPA 技術本部 セキュリティセンター
E-mail：
更新履歴
| 2015年1月29日 | 掲載 |
|---|