JVNDB-2021-001020
|
sudo にヒープベースのバッファオーバーフローの脆弱性
|
|
sudo にはコマンドの引数に設定された特殊文字のエスケープ処理の実装に起因した、ヒープベースのバッファオーバーフロー (CWE-122) の脆弱性が存在します。
2021年2月5日時点において、macOS、AIX、Solaris においても影響を受ける可能性があるとの報告がされていますが、発見者による確認は実施されていません。
なお、2021年2月9日に Apple から本件に対応するセキュリティアップデートが公開されました。
|
|
CVSS v3 による深刻度
基本値: 7.8 (重要) [NVD値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.2 (危険) [NVD値]
- 攻撃元区分: ローカル
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 全面的
- 完全性への影響(I): 全面的
- 可用性への影響(A): 全面的
|
|
|
sudo project
- Sudo バージョン 1.8.2 から 1.8.31p2
- Sudo バージョン 1.9.0 から 1.9.5p1
|
本脆弱性の影響を受けるディストリビューションについては、各ディストリビュータが公開する情報を参照してください。
|
|
ローカルの第三者によって、権限昇格され管理者権限でコマンドを実行される可能性があります。
|
|
[アップデートする]
開発者が提供する情報をもとに、最新版へとアップデートしてください。
なお、本脆弱性の影響が確認されていない OS やディストリビューションにおいても影響を受ける可能性があるため、本件に関する続報を注視してください。
|
|
sudo project
アップル
|
|
- ヒープベースのバッファオーバーフロー(CWE-122) [IPA評価]
|
|
- CVE-2021-3156
|
|
- JVN : JVNVU#96493147
- JVN : JVNVU#92304019
- JVN : JVNVU#98963695
- JVN : JVNVU#91343607
- JVN : JVNVU#99480250
- JVN : JVNVU#90511416
- National Vulnerability Database (NVD) : CVE-2021-3156
- JPCERT 緊急報告 : sudoの脆弱性（CVE-2021-3156）に関する注意喚起
- US-CERT Vulnerability Note : VU#794544
- CISA Known Exploited Vulnerabilities Catalog : CVE-2021-3156
- ICS-CERT ADVISORY : ICSA-22-256-01
- 関連文書 : Qualys Security Blog (CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit))
|
|
- [2021年02月08日]
掲載
- [2021年04月02日]
概要：内容を更新
ベンダ情報：Apple Security Updates (About the security content of macOS Big Sur 11.2.1, macOS Catalina 10.15.7 Supplemental Update, and macOS Mojave 10.14.6 Security Update 2021-002) を追加
- [2021年05月07日]
参考情報：JVN (JVNVU#92304019) を追加
- [2021年05月19日]
参考情報：JVN (JVNVU#98963695) を追加
- [2021年06月10日]
参考情報：JVN (JVNVU#91343607) を追加
- [2021年12月02日]
参考情報：JVN (JVNVU#99480250) を追加
- [2022年09月15日]
参考情報：JVN (JVNVU#90511416) を追加
参考情報：ICS Advisory (ICSA-22-256-01) を追加
|
