Linuxなどで利用する「glibc」に深刻な脆弱性 - コード実行のおそれ

Linuxで利用されるGNUのCライブラリ「glibc」に、深刻なバッファオーバーフローの脆弱性「CVE-2015-7547」が含まれていることがわかった。修正パッチが公開されている。

同脆弱性は、関数「getaddrinfo」を利用し、クライアント側で名前解決を行う際にバッファオーバーフローが生じる可能性があるもの。2008年5月に公開された「同2.9」以降のすべてのバージョンが影響を受けるという。

同ライブラリを用いたソフトウェアで、悪意あるドメイン名を処理したり、悪意あるDNSサーバとの通信、マンインザミドル攻撃などで脆弱性が悪用されるおそれがあり、リモートでコードを実行されるおそれがある。

脆弱性にはRed Hatの研究者が最初に気が付き、開発グループが修正パッチを公開した。修正へ協力し、脆弱性の詳細を明らかにしたGoogleの研究者は、実証コード（PoC）を公開。パッチの適用やすぐに修正できない場合も緩和策を講じるよう注意を呼びかけている。

（Security NEXT - 2016/02/17 ）ツイート