Skip to content

サポート   >  セキュリティー&アップデート/ERRATA

緊急度：低：vimのセキュリティアップデート

アドバイスID: RHSA-2005:036-10
最終更新日: 2005-02-15
影響のあるプロダクト: Red Hat Desktop (v. 4)
Red Hat Enterprise Linux AS (v. 4)
Red Hat Enterprise Linux ES (v. 4)
Red Hat Enterprise Linux WS (v. 4)
CVEs (cve.mitre.org): CAN-2004-1138
CAN-2005-0069

Security Advisory   セキュリティ・アドバイス

概要:

セキュリティ脆弱性を修正したvimのアップデートパッケージがRedHat Enterprise Linux 4で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「低（Low）」のセキュリティ問題と評価されています。

VIM（Vi IMproved）は、スクリーンベースのviエディタを改良したアップデートバージョンです

VIMのモードラインの脆弱性をCiaran McCreesh氏が発見しました。攻撃者が巧妙に細工したモードラインを含むファイルを作成し、犠牲者がVIMを使用してこのファイルを表示したときに任意のコマンドを実行させることが可能です。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2004-1138と命名されています。この問題は、modelinesプラグインとfiletypeプラグインを有効にしている場合のみ影響がある点に注意してください。これらはデフォルト設定では無効になっています。

VIMのテンポラリファイルの危険な使用法がDebian Security Audit Projectによって発見されました。ローカルユーザは、脆弱性のあるユーティリティの1つを実行する別のユーザとして、ファイルを上書きまたは作成できる可能性があります。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2005-0069と命名されています。

VIMのすべてのユーザは、これらの問題を解決するバックポートパッチを含んだ上記エラータパッケージにアップグレードすることをお勧めします。

アップデート・パッケージ:

Red Hat Desktop (v. 4)
SRPMS:
vim-6.3.046-0.40E.4.src.rpm     c96fd67779f1d099a58a7a0743ce6928
 
IA-32:
vim-X11-6.3.046-0.40E.4.i386.rpm     dd31e23fcbdb6bade1294d31174f5103
vim-common-6.3.046-0.40E.4.i386.rpm     f4c5333040a94853faf12be26ba382ed
vim-enhanced-6.3.046-0.40E.4.i386.rpm     33be00e17c1107915e305043f136119e
vim-minimal-6.3.046-0.40E.4.i386.rpm     1a8c629691d5782e80fc8956effdacd1
 
x86_64:
vim-X11-6.3.046-0.40E.4.x86_64.rpm     5e8698376c3c385d5041499f462b0c2a
vim-common-6.3.046-0.40E.4.x86_64.rpm     73074abbe35bef46b42d41e36319391e
vim-enhanced-6.3.046-0.40E.4.x86_64.rpm     050e7da706e074b4571376f3c93e0267
vim-minimal-6.3.046-0.40E.4.x86_64.rpm     3864e1d8b4cff3314120f99c30887483
 
Red Hat Enterprise Linux AS (v. 4)
SRPMS:
vim-6.3.046-0.40E.4.src.rpm     c96fd67779f1d099a58a7a0743ce6928
 
IA-32:
vim-X11-6.3.046-0.40E.4.i386.rpm     dd31e23fcbdb6bade1294d31174f5103
vim-common-6.3.046-0.40E.4.i386.rpm     f4c5333040a94853faf12be26ba382ed
vim-enhanced-6.3.046-0.40E.4.i386.rpm     33be00e17c1107915e305043f136119e
vim-minimal-6.3.046-0.40E.4.i386.rpm     1a8c629691d5782e80fc8956effdacd1
 
IA-64:
vim-X11-6.3.046-0.40E.4.ia64.rpm     b10674df5347e8d9e2a613ef2023279e
vim-common-6.3.046-0.40E.4.ia64.rpm     8473b75ed1d176059ab23d7b897d56f2
vim-enhanced-6.3.046-0.40E.4.ia64.rpm     f5e7c7f0856b427e776ebc3712b636a7
vim-minimal-6.3.046-0.40E.4.ia64.rpm     6a469afce1bad5b376fa06d3e41fb418
 
PPC:
vim-X11-6.3.046-0.40E.4.ppc.rpm     c829b578e44be749f702bba972dc6aaf
vim-common-6.3.046-0.40E.4.ppc.rpm     75b89a824a1ef85720daab79d4643994
vim-enhanced-6.3.046-0.40E.4.ppc.rpm     8ed3cc589a078b1a98241ef5f66a4635
vim-minimal-6.3.046-0.40E.4.ppc.rpm     ff9420a3210b7d9fec7c22ac84cd45b0
 
s390:
vim-X11-6.3.046-0.40E.4.s390.rpm     48904dd9de9b25720c4c43a147683298
vim-common-6.3.046-0.40E.4.s390.rpm     4bd0c5889d0b90459ecaf49c105a3b26
vim-enhanced-6.3.046-0.40E.4.s390.rpm     6c9a14e740ef7bb2e6ba4569adf65339
vim-minimal-6.3.046-0.40E.4.s390.rpm     98de86875b9d54219b2f37ca303a41ed
 
s390x:
vim-X11-6.3.046-0.40E.4.s390x.rpm     97c53980f49b3bcc057bec6e197f9f79
vim-common-6.3.046-0.40E.4.s390x.rpm     123bf0b4f37202089e1c5336e8d3527a
vim-enhanced-6.3.046-0.40E.4.s390x.rpm     747c5efa7e3f93757475dc9743c19d75
vim-minimal-6.3.046-0.40E.4.s390x.rpm     d691bc9d0fd6ec63fbcf8cdf5abfef4e
 
x86_64:
vim-X11-6.3.046-0.40E.4.x86_64.rpm     5e8698376c3c385d5041499f462b0c2a
vim-common-6.3.046-0.40E.4.x86_64.rpm     73074abbe35bef46b42d41e36319391e
vim-enhanced-6.3.046-0.40E.4.x86_64.rpm     050e7da706e074b4571376f3c93e0267
vim-minimal-6.3.046-0.40E.4.x86_64.rpm     3864e1d8b4cff3314120f99c30887483
 
Red Hat Enterprise Linux ES (v. 4)
SRPMS:
vim-6.3.046-0.40E.4.src.rpm     c96fd67779f1d099a58a7a0743ce6928
 
IA-32:
vim-X11-6.3.046-0.40E.4.i386.rpm     dd31e23fcbdb6bade1294d31174f5103
vim-common-6.3.046-0.40E.4.i386.rpm     f4c5333040a94853faf12be26ba382ed
vim-enhanced-6.3.046-0.40E.4.i386.rpm     33be00e17c1107915e305043f136119e
vim-minimal-6.3.046-0.40E.4.i386.rpm     1a8c629691d5782e80fc8956effdacd1
 
IA-64:
vim-X11-6.3.046-0.40E.4.ia64.rpm     b10674df5347e8d9e2a613ef2023279e
vim-common-6.3.046-0.40E.4.ia64.rpm     8473b75ed1d176059ab23d7b897d56f2
vim-enhanced-6.3.046-0.40E.4.ia64.rpm     f5e7c7f0856b427e776ebc3712b636a7
vim-minimal-6.3.046-0.40E.4.ia64.rpm     6a469afce1bad5b376fa06d3e41fb418
 
x86_64:
vim-X11-6.3.046-0.40E.4.x86_64.rpm     5e8698376c3c385d5041499f462b0c2a
vim-common-6.3.046-0.40E.4.x86_64.rpm     73074abbe35bef46b42d41e36319391e
vim-enhanced-6.3.046-0.40E.4.x86_64.rpm     050e7da706e074b4571376f3c93e0267
vim-minimal-6.3.046-0.40E.4.x86_64.rpm     3864e1d8b4cff3314120f99c30887483
 
Red Hat Enterprise Linux WS (v. 4)
SRPMS:
vim-6.3.046-0.40E.4.src.rpm     c96fd67779f1d099a58a7a0743ce6928
 
IA-32:
vim-X11-6.3.046-0.40E.4.i386.rpm     dd31e23fcbdb6bade1294d31174f5103
vim-common-6.3.046-0.40E.4.i386.rpm     f4c5333040a94853faf12be26ba382ed
vim-enhanced-6.3.046-0.40E.4.i386.rpm     33be00e17c1107915e305043f136119e
vim-minimal-6.3.046-0.40E.4.i386.rpm     1a8c629691d5782e80fc8956effdacd1
 
IA-64:
vim-X11-6.3.046-0.40E.4.ia64.rpm     b10674df5347e8d9e2a613ef2023279e
vim-common-6.3.046-0.40E.4.ia64.rpm     8473b75ed1d176059ab23d7b897d56f2
vim-enhanced-6.3.046-0.40E.4.ia64.rpm     f5e7c7f0856b427e776ebc3712b636a7
vim-minimal-6.3.046-0.40E.4.ia64.rpm     6a469afce1bad5b376fa06d3e41fb418
 
x86_64:
vim-X11-6.3.046-0.40E.4.x86_64.rpm     5e8698376c3c385d5041499f462b0c2a
vim-common-6.3.046-0.40E.4.x86_64.rpm     73074abbe35bef46b42d41e36319391e
vim-enhanced-6.3.046-0.40E.4.x86_64.rpm     050e7da706e074b4571376f3c93e0267
vim-minimal-6.3.046-0.40E.4.x86_64.rpm     3864e1d8b4cff3314120f99c30887483
 
(The unlinked packages above are only available from the Red Hat Network)

解決法:

このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。
それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください：

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ:  (詳細は、こちらbugzilla[英語]を御覧ください。)

144187 - CAN-2004-1138 vim arbitrary command execution vulnerability
144880 - CAN-2005-0069 vim unsafe temporary file usage.

参照:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-1138
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0069
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=289560


ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。