【活用ガイド】

JVNDB-2016-001419

glibc にバッファオーバーフローの脆弱性

概要

glibc には、バッファオーバーフローの脆弱性が存在します。

glibc には、send_dg() および send_vc() の処理に起因するスタックベースのバッファオーバーフローの脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 8.1 (重要) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 6.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


GNU Project
  • GNU C Library (glibc) 2.9 から 2.22 まで
VMware
  • VMware Virtual Appliances すべてのバージョン
  • VMware ESXi 5.5
  • VMware ESXi 6.0
オラクル
  • Oracle Exalogic Infrastructure 1.0
  • Oracle Exalogic Infrastructure 2.0
  • XCP 2290 未満 (Fujitsu M10-1/M10-4/M10-4S サーバ)
日本電気
  • CLUSTERPRO
  • EnterpriseDirectoryServer Linux版 Ver6.1
  • EnterpriseDirectoryServer Linux版 Ver7.0
  • EnterpriseDirectoryServer Linux版 Ver7.1
  • EnterpriseDirectoryServer Linux版 Ver8.0 (Red Hat Enterprise Linux 6 および 7)
  • EnterpriseIdentityManager Linux版 Ver4.1
  • EnterpriseIdentityManager Linux版 Ver5.0
  • EnterpriseIdentityManager Linux版 Ver5.1
  • EnterpriseIdentityManager Linux版 Ver8.0 (Red Hat Enterprise Linux 6 および 7)
  • MailShooter 全バージョン
  • SimpWright -V6
  • SimpWright -V7
  • WebOTX Application Server Enterprise V8.5〜V9.4
  • WebOTX Application Server Express V8.5〜V9.4
  • WebOTX Application Server Foundation V8.5
  • WebOTX Application Server Standard V8.5〜V9.4
  • WebOTX Developer (for CORBA Application) V8.5〜V9.4
  • WebOTX Enterprise Service Bus V8.5〜V9.3
  • WebOTX Portal V9.1〜V9.3
  • WebSAM JobCenter R14.1系の全バージョン
  • WebSAM JobCenter R14.2系の全バージョン
  • WebSAM AssetSuite 全バージョン
  • Express5800 /SG シリーズ InterSecVM/SG v1.2、v3.0、v3.1、v4.0
  • Express5800 /SG シリーズ SG3600LM/LG/LJ v6.1、v6.2、v7.0、v7.1、v8.0、v8.2
  • Express5800 /SG シリーズ UNIVERGE SG3000LG/LJ
  • iStorage M/D/S/A/Eシリーズ 全バージョン
  • iStorage HSシリーズ v5.0.0 から v5.0.3

本脆弱性の影響を受ける製品の詳細については、各ベンダのベンダ情報をご確認ください。
想定される影響

遠隔の攻撃者によって、任意のコードを実行されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
対策

[アップデートする]
各開発者が提供する情報をもとに、アップデートを適用してください。
ベンダ情報

Canonical CentOS Project Debian F5 Networks GNU Project Novell VMware アライドテレシス オラクル シスコシステムズ ターボリナックス トリップワイヤ トレンドマイクロ ヒューレット・パッカード・エンタープライズ ミラクル・リナックス ヤマハ レッドハット 株式会社アイ・オー・データ機器 日本電気
  • NEC製品セキュリティ情報 : NV16-003
CWEによる脆弱性タイプ一覧  CWEとは?

  1. バッファエラー(CWE-119) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2015-7547
参考情報

  1. JVN : JVNVU#97236594
  2. National Vulnerability Database (NVD) : CVE-2015-7547
  3. JPCERT 注意喚起 : JPCERT-AT-2016-0009
  4. US-CERT Vulnerability Note : VU#457759
  5. ICS-CERT ADVISORY : ICSA-16-103-01
  6. JPRS : （緊急）GNU C Library（glibc）の脆弱性について（CVE-2015-7547）
  7. 関連文書 : Google Online Security Blog - CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow
更新履歴

  • [2016年02月18日]
      掲載
    [2016年02月19日]
      ベンダ情報：ミラクル・リナックス (glibc の脆弱性(CVE-2015-7547)の影響と対処) を追加
      ベンダ情報：トリップワイヤ (glibc getaddrinfo Buffer Overflow (CVE-2015-7547)) を追加
      ベンダ情報：F5 Networks (SOL47098834: glibc vulnerability CVE-2015-7547) を追加
      ベンダ情報：Novell (Bug 961721) を追加
      ベンダ情報：CentOS Project (CESA-2016:0176 Critical CentOS 7 glibc Security Update) を追加
      ベンダ情報：CentOS Project (CESA-2016:0175 Critical CentOS 6 glibc Security Update) を追加
      参考情報：JPCERT 注意喚起 (JPCERT-AT-2016-0009) を追加
      参考情報：JPRS (（緊急）GNU C Library（glibc）の脆弱性について（CVE-2015-7547）) を追加
      参考情報：US-CERT Vulnerability Note (VU#457759) を追加
    [2016年02月22日]
      CVSS による深刻度：内容を更新
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：シスコシステムズ (cisco-sa-20160218-glibc) を追加
      CWE による脆弱性タイプ一覧：CWE-ID を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2015-7547) を追加
    [2016年02月23日]
      ベンダ情報：レッドハット (Bug 1293532) を追加
      ベンダ情報：レッドハット (Critical security flaw: glibc stack-based buffer overflow in getaddrinfo() (CVE-2015-7547)) を追加
      ベンダ情報：レッドハット (重大なセキュリティー欠陥: getaddrinfo() での glibc スタックベースのバッファーオーバーフロー (CVE-2015-7547)) を追加
    [2016年02月25日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：VMware (VMSA-2016-0002) を追加
    [2016年03月01日]
      ベンダ情報：ターボリナックス (TLSA-2016-7) を追加
    [2016年03月04日]
      ベンダ情報：トレンドマイクロ (glibcの脆弱性「CVE-2015-7547」に対する弊社製品での対応について) を追加
    [2016年03月15日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：日本電気 (NV16-003) を追加
    [2016年03月18日]
      ベンダ情報：アライドテレシス (アライドテレシス株式会社からの情報) を追加
    [2016年03月25日]
      ベンダ情報：株式会社アイ・オー・データ機器 (glibc バッファオーバーフローの脆弱性について) を追加
    [2016年03月29]
      ベンダ情報：ヤマハ (「glibc にバッファオーバーフローの脆弱性」について) を追加
    [2016年05月31日]
      CVSS による深刻度：内容を更新
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：オラクル (Oracle Critical Patch Update CVSS V2 Risk Matrices - April 2016) を追加
      ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - April 2016) を追加
      ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - April 2016 Risk Matrices) を追加
      ベンダ情報：オラクル (April 2016 Critical Patch Update Released) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-16-103-01) を追加
    [2016年06月23日]
      影響を受けるシステム：ベンダ情報の更新に伴い内容を更新
    [2016年08月26日]
      影響を受けるシステム：ベンダ情報の更新に伴い内容を更新
    [2016年10月26日]
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBNS03571) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBMU03612) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03553) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03442) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03547) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03549) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03551) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03582) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBGN03597) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBST03598) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBMU03591) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBHF03578) を追加
      ベンダ情報：ヒューレット・パッカード・エンタープライズ (HPSBST03603) を追加
    [2016年10月28日]
      影響を受けるシステム：ベンダ情報の更新に伴い内容を更新
    [2017年02月20日]
      影響を受けるシステム：ベンダ情報の更新に伴い内容を更新
    [2017年03月09日]
      影響を受けるシステム：ベンダ情報の更新に伴い内容を更新
    [2017年07月25日]
      影響を受けるシステム：ベンダ情報 (NV16-003) の更新に伴い内容を更新

公表日2016/02/17
登録日2016/02/18
最終更新日2017/07/25