保安警报(A16-02-06): GNU C 链接库(glibc)漏洞

描述:

许多Linux和Unix-based操作系统均使用的GNU C链接库(glibc)存在一个漏洞。由于一个存在于"getaddrinfo()"函数的堆阵满溢漏洞，如果应用程序使用glibc DNS客户端解析器来解析受攻击者控制的网域或DNS服务器时、或经过中间人攻击时可能受到攻击。已有概念验证程序代码成功利用这个漏洞。

受影响的系统:

• GNU C 链接库(glibc) 版本 2.9 至 2.22
  (此链接库是Linux和Unix-based操作系统的主要部份)

影响:

成功利用这个漏洞可以从远程执行程序代码。

建议:

多个受影响系统包括RedHat、 CentOS、Ubuntu和Debian的修补程序已可获取。用户应联络产品供货商以确认是否受有关问题影响，或执行"ldd -–version"命令以检查系统内的glibc版本。

• RedHat
  https://access.redhat.com/articles/2161461
  
  
• CentOS
  https://lists.centos.org/pipermail/centos-announce/2016-February/021672.html
  
  
• Ubuntu
  https://launchpad.net/ubuntu/+source/eglibc
  
  
• Debian
  https://security-tracker.debian.org/tracker/CVE-2015-7547
  
  

受影响系统的用户应遵从产品供货商的建议，立即采取行动以降低风险。

进一步信息:

https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html
https://www.us-cert.gov/ncas/current-activity/2016/02/17/GNU-glibc-Vulnerability
https://www.kb.cert.org/vuls/id/457759
https://googleonlinesecurity.blogspot.hk/2016/02/cve-2015-7547-glibc-getaddrinfo-stack.html
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7547