glibcパッケージのアップデート

セキュリティ・アドバイス

概要:

overflowableバッファをフィックスし、更に7.xでは2〜3個の非セキュリティ関連のバグをフィックスする、アップデートglibcパッケージが利用可能となりました。

overflowableバッファは、glibc glob(3) インプリメンテーションの旧バージョンにあります。ユーザ修正可能入力をglibc glob機能にパスするプログラムを利用することも可能です。

Common Vulnerabilities and Exposuresプロジェクト(cve.mitre.org)により、この問題はCAN-2001-0886と命名されています。

このエラータはまた、Red Hat Linux 7.x用のglibcパッケージにある2〜3個の非セキュリティ関連バグをフィックスします。動的リンカー中にバグがあり、それによりDT_RUNPATH動的タグ（例：--enable-new-dtags -rpath DIRオプション付きでGNU ldにより作成されたもの）が単なるDT_RPATHタグと同じにされてしまう（つまり、その中のサーチパスがLD_LIBRARY_PATH環境変数によってオーバーライドされることができない）ことがありました。アップデートパッケージではこれはフィックスされており、これ以外にも、strndupがストリングリテラル・アーギュメント及びヘッダのタイポと一緒に使われた場合のstrndup バグもフィックス されています。

ユーザの皆様全員に、提供されたパッケージへのアップグレードをなさるようお勧めいたします。

このバッファオーバーフローの問題の発見について、Flavio Velosoに謝意を表します。

アップデート・パッケージ:

解決法:

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ:  (詳細は、こちらbugzilla[英 語]を御覧ください 。)

55865 - LD_LIBRARY_PATH / rpath interaction
57268 - syntax error in inttypes.h with 2.2.4-19 update

参照:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2001-0886

キーワード:

buffer, DT_RUNPATH, glibc, glob, LD_LIBRARY_PATH, overrun, strndup

ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。