保安警報(A16-02-06): GNU C 程式庫(glibc)漏洞

描述:

許多Linux和Unix-based作業系統均使用的GNU C程式庫(glibc)存在一個漏洞。由於一個存在於"getaddrinfo()"函數的堆陣滿溢漏洞，如果應用程式使用glibc DNS客戶端解析器來解析受攻擊者控制的網域或DNS伺服器時、或經過中間人攻擊時可能受到攻擊。已有概念驗證程式碼成功利用這個漏洞。

受影響的系統:

• GNU C 程式庫(glibc) 版本 2.9 至 2.22
  (此程式庫是Linux和Unix-based作業系統的主要部份)

影響:

成功利用這個漏洞可以從遠端執行程式碼。

建議:

多個受影響系統包括RedHat、 CentOS、Ubuntu和Debian的修補程式已可獲取。用戶應聯絡產品供應商以確認是否受有關問題影響，或執行"ldd -–version"命令以檢查系統內的glibc版本。

• RedHat
  https://access.redhat.com/articles/2161461
  
  
• CentOS
  https://lists.centos.org/pipermail/centos-announce/2016-February/021672.html
  
  
• Ubuntu
  https://launchpad.net/ubuntu/+source/eglibc
  
  
• Debian
  https://security-tracker.debian.org/tracker/CVE-2015-7547
  
  

受影響系統的用戶應遵從產品供應商的建議，立即採取行動以降低風險。

進一步資訊:

https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html
https://www.us-cert.gov/ncas/current-activity/2016/02/17/GNU-glibc-Vulnerability
https://www.kb.cert.org/vuls/id/457759
https://googleonlinesecurity.blogspot.hk/2016/02/cve-2015-7547-glibc-getaddrinfo-stack.html
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7547