公開日：2016/12/07 最終更新日：2017/12/21
JVNVU#91242711
BSD libc にバッファオーバーフローの脆弱性
BSD libc ライブラリには、バッファオーバーフローの脆弱性が存在します。
- BSD libc
バッファオーバーフロー（CWE-120） - CVE-2016-6559
link_ntoa() 関数には、obuf 変数に関する不適切な処理に起因するバッファオーバーフローの脆弱性が存在します。
FreeBSD 開発者の分析によると、攻撃可能な状態で link_ntoa() 関数が実装されているアプリケーションは存在しないだろうとの見解です ("it is very unlikely that applications exist that utilize link_ntoa() in an exploitable manner")。また、CERT/CC は、2016年12月6日時点で本脆弱性の実証コードは確認していません。
想定される影響は、攻撃手法や、アプリケーションによるライブラリの使用方法に依存します。最悪の場合、アプリケーションの実行権限で任意のコードが実行される可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
なお、FreeBSD では、次のパッチレベルにおいて本脆弱性に対する修正が適用されています。
- 9.3-RELEASE-p51
- 10.1-RELEASE-p43
- 10.2-RELEASE-p26
- 10.3-RELEASE-p13
- 11.0-RELEASE-p4
CVSS v3
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
基本値:
8.1
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
CVSS v2
AV:N/AC:M/Au:N/C:C/I:C/A:C
基本値:
9.3
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) |
分析結果のコメント
root 権限で実行されているアプリケーションに対する攻撃により、任意のコードが実行されることを想定して評価しています。
- 2016/12/08
- 横河メータ＆インスツルメンツ株式会社のベンダステータスが更新されました
- 2016/12/08
- ジェイティ エンジニアリング株式会社のベンダステータスが更新されました
- 2017/12/21
- BizMobile株式会社のベンダステータスが更新されました
