【活用ガイド】

JVNDB-2012-003022

FreeBSD の crypt_des 関数におけるアクセス権を取得される脆弱性

概要

PHP、PostgreSQL、および他の製品で使用される FreeBSD の crypt_des 関数は、0x80 文字を含んだ平文パスワードを適切に処理しないため、アクセス権を取得される脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 4.3 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
影響を受けるシステム


FreeBSD
  • FreeBSD 7.4-STABLE 未満 (RELENG_7)
  • FreeBSD 7.4-RELEASE-p8 未満 (RELENG_7_4)
  • FreeBSD 8.3-STABLE 未満 (RELENG_8)
  • FreeBSD 8.3-RELEASE-p2 未満 (RELENG_8_3)
  • FreeBSD 8.2-RELEASE-p8 未満 (RELENG_8_2)
  • FreeBSD 8.1-RELEASE-p10 未満 (RELENG_8_1)
  • FreeBSD 9.0-STABLE 未満 (RELENG_9)
  • FreeBSD 9.0-RELEASE-p2 未満 (RELENG_9_0)
PostgreSQL.org
  • PostgreSQL 9.1.4 未満の 9.1.x
  • PostgreSQL 9.0.8 未満の 9.0.x
  • PostgreSQL 8.4.12 未満の 8.4.x
  • PostgreSQL 8.3.19 未満の 8.3.x
The PHP Group
  • PHP 5.4.4 未満の 5.4.x
  • PHP 5.3.14 未満の 5.3.x
アップル
  • Apple Mac OS X v10.6.8
  • Apple Mac OS X v10.7 から v10.7.4
  • Apple Mac OS X v10.8
  • Apple Mac OS X v10.8.1
  • Apple Mac OS X Server v10.6.8
  • Apple Mac OS X Server v10.7 から v10.7.4

* FreeBSD
修正日が 2012-05-30 より以降のバージョンは影響を受けません。
詳しくは、FreeBSD が提供する FreeBSD-SA-12:02.crypt をご確認ください。
想定される影響

攻撃者により、文字列の始めに問題の文字が含まれるパスワードに対する認証試行を介して、アクセス権を取得される可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Debian Fedora Project FreeBSD Mandriva, Inc. Novell PostgreSQL.org The PHP Group アップル オラクル レッドハット
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 暗号の問題(CWE-310) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2012-2143
参考情報

  1. JVN : JVNVU#381963
  2. National Vulnerability Database (NVD) : CVE-2012-2143
更新履歴

  • [2012年07月09日]
      掲載
    [2012年07月26日]
      ベンダ情報：Fedora Project (FEDORA-2012-8915) を追加
      ベンダ情報：Fedora Project (FEDORA-2012-8924) を追加
      ベンダ情報：Fedora Project (FEDORA-2012-8893) を追加
      ベンダ情報：openSUSE (SUSE-SU-2012:0840) を追加
      ベンダ情報：レッドハット (RHSA-2012:1037) を追加
      ベンダ情報：Debian (DSA-2491-1) を追加
      ベンダ情報：Mandriva, Inc. (MDVSA-2012:092) を追加
    [2012年08月03日]
      ベンダ情報：オラクル (Multiple vulnerabilities in postgresql) を追加
    [2012年10月16日]
      ベンダ情報：アップル (HT5501) を追加
    [2012年10月22日]
      ベンダ情報：openSUSE (openSUSE-SU-2012:1299) を追加
    [2012年11月05日]
      ベンダ情報：openSUSE (openSUSE-SU-2012:1251) を追加
      ベンダ情報：openSUSE (openSUSE-SU-2012:1288) を追加
    [2014年02月13日]
      影響を受けるシステム：アップル (HT5501) の情報を追加
      ベンダ情報：アップル (APPLE-SA-2012-09-19-2) を追加

公表日2012/05/30
登録日2012/07/09
最終更新日2014/02/13