Ubuntu Weekly Topics

2009年4月10日号 9.04のリリースと9.10・UWN#136・Ubuntu Open Week・「うぶんちゅ!」英語版・カーネルのセキュリティアップデート

この記事を読むのに必要な時間:およそ 4.5 分

usn-753-1:PostgreSQLのセキュリティアップデート
  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000878.html
  • 6.06 LTS・8.04 LTS・8.10用のアップデータが提供されています。CVE-2009-0922とともに,LP#344688で管理されているPostgreSQLの上流でのバグフィックスが含まれています。
  • CVE-2009-0922 はPostgreSQL内部の文字コード変換ルーチンの問題で,認証済みの(PostgreSQLのdbへ接続を許された)ユーザーが特定のクエリを発行することでdbを停止させることができる可能性がある問題です。この停止によるデータの損傷は難しく,また設定によってはDoSが成立しない可能性があります。詳細はPostgreSQL BUG #4680を参照してください。
  • 対処方法:通常の場合,パッケージのアップデートで問題を解決することができます。
  • 備考:バグフィックスの内容は8.1系8.3系それぞれのchangelogを参照してください。
  • 備考2:6.06LTSは8.1系を,8.04LTS・8.10は8.3系を利用しています。7.10は8.2系を利用しており,この問題の影響を受けますが,まだアップデータはリリースされていません。
usn-752-1:Linux kernelのセキュリティアップデート
  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000879.html
  • 6.06LTS用のアップデータがリリースされています。CVE-2008-4307, CVE-2008-6107, CVE-2009-0028, CVE-2009-0029, CVE-2009-0065, CVE-2009-0322, CVE-2009-0675, CVE-2009-0676, CVE-2009-0834, CVE-2009-0835, CVE-2009-0859を修正します。
  • CVE-2009-0029は,x64を除く64bit CPUシステムにおける(例:sparc64, PPC64, mips64)一部のシステムコールの設計の問題で,64bitレジスタに格納される値としてユーザランドからもたらされた32bit変数の値が使われる場合に,この値を正しく解釈できないため,DoS(Kernel Panic)またはroot権限の奪取を誘発する可能性がありました。この問題への対処はシステムコールの引数の取り扱いの変更を伴うため,ABIが変化します。
  • CVE-2009-0029以外の詳細は上述のusn-751-1のものを参照してください。
  • 対処方法:アップデータを適用の上,システムを再起動してください。このアップデータはCVE-2009-0029の修正によりABIが変化しているため,ABIとして2.6.15-54を持ちます。アップデートの際にlinux-restricted-modulesなどのバージョンが揃っていることを確認すること(適切な方法でパッケージをインストールしていれば,バージョンの更新は自動的に行われますので結果を確認してください)⁠自分でコンパイルしたドライバが存在する場合は手動でそれらを更新することを忘れないでください。
usn-754-1:ClamAVのセキュリティアップデート
  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000880.html
  • 8.10用のアップデータが提供されています。LP#354190で報告された問題ClamAV#1335, ClamAV#1462を修正します。
  • ClamAV#1335はPEファイル(Win32形式の実行ファイル)を検査する--detect-brokenオプションの動作に問題があり,利用すると0除算が発生してプログラムが停止する問題です。
  • ClamAV#1462はTARファイルの処理に問題があり,悪意ある細工を施したファイルを入力することでClamAVを無限ループに陥らせることが可能でした。
  • 対処方法:通常の場合,アップデータを適用することで問題を解決することができます。
  • 備考:8.10以前のClamAVはUniverseに属するため,USNとしてのアドバイザリは提供されません。また,まだ対処版はリリースされていませんので今後のリリースに注意してください。
  • 備考2:このアップデートはClamAV 0.95からのバックポートです。9.04では3/25にリリースされたバージョンに更新されていれば影響を受けません。
usn-755-1:Kerberosのセキュリティアップデート
  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2009-April/000881.html
  • 現在サポートされている全てのUbuntu(6.06 LTS・7.10・8.04 LTS・8.10)用のアップデータがリリースされています。CVE-2009-0844, CVE-2009-0845, CVE-2009-0846, CVE-2009-0847を修正します。
  • CVE-2009-0845はSPNEGOの処理コードの問題で,バッファオーバーリードを発生させる可能性があります。これにより遠隔からDoSを発生させることが可能です。MIT krb5 Security Advisory 2009-001を参照してください。
  • CVE-2009-0845は,SPNEGOの処理コードの問題で,Null Pointerの参照を引き起こす可能性があります。Null Pointerの参照は,メモリ空間が完全に予測可能に配置されている等,限定的な状況を仮定することでリモートからの任意のコード実行に繋げられる可能性がありますが,通常はDoSとして機能します。MIT krb5 Security Advisory 2009-001を参照してください。
  • CVE-2009-0846は,ASN.1形式の文字列のデコード処理の問題で,初期化されていないポインタをfree()してしまう可能性があります。これはfree()に配慮されていない古典的なシステムでは任意のコードの実行に繋がる問題ですが,Ubuntuを含めたこの数年のLinux環境では通常,単なるリモートDoSとして機能します。ただし,DoSの難易度は高くなく,KDCの安定度に大きな影響を及ぼす恐れがあります。MIT krb5 Security Advisory 2009-002を参照してください。
  • CVE-2009-0847は,ASN.1形式の文字列のデコード処理の問題で,kinitなどの実行時に通過する処理の際に複数回の不定なmalloc()が生じる可能性があります。影響範囲は確定されていませんが,DoS以上の影響を及ぼす可能性はないと考えられます。
  • 対処方法:通常の場合,アップデータを適用するだけで問題を解決できます。アップデータの適用時にKDCのデーモンプロセスが再起動する可能性がありますので,高い負荷がかかり続けるKDCでは,可用性に若干の(無視できる)影響を与える可能性があります。

著者プロフィール

吉田史(よしだふみひと)

Ubuntu Japanese Team Member株式会社創夢所属。システム管理を中心にWindows/PC Unixを併用している。Ubuntu Japanese Teamではパッケージサーバの管理や翻訳などの作業を担当。

コメント

コメントの記入