Vine Linux バグトラッキングシステム - Vine Linux
課題の詳細を表示
IDプロジェクトカテゴリ公開登録日最終更新
0001265Vine Linux1 バグ公開2012-02-26 17:032012-02-29 17:12
報告者anonymous 
担当者 
優先度中再現性不明 
状態完了解決状況却下 
バージョン6.0 
修正予定バージョン修正済バージョン 
archx86, x86_64
パッケージlibpng jasper pidgin openldap gnutls telepathy-gabble rsyslog acpid cups rpm cvs libxml2 net-tools
概要0001265: 一部不具合あるいはセキュリティホールを含めたパッケージ
説明libpngの脆弱性レポートを見て他のパッケージを適当に検索してみた結果、
一部不具合を含めたパッケージを見つけました。
中には軽いものもいますができるだけ対応して貰いだいです。

libpng (5/6/vineseed)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3026 [^]
http://www.kb.cert.org/vuls/id/523889 [^]
jasper (5/6/vineseed)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4516 [^]
http://www.kb.cert.org/vuls/id/887409 [^]
pidgin (5/6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4602 [^]
openldap (5/6/vineseed)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4079 [^]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1081 [^]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1025 [^]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1024 [^]
libsoup (5/6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2524 [^]
gnutls (5/6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4128 [^]
telepathy-gabble (6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1000 [^]
rsyslog (6/vineseed)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3200 [^]
acpid (5/6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1159 [^]
cups (5/6/vineseed)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3170 [^]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2896 [^]
rpm (5/6)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3378 [^]

関係のない話ですがgnome-sessionのHAVE_X11_XTRANS_XTRANS_Hを指定してあればgnome-sessionがtcpポートを監視しなくなります。
二つのpcで1ヶ月ほど使用しました、問題は出ませんでした。
再現方法
追加情報
タグ設定されていません。
関連
添付ファイル
課題の履歴
変更日ユーザー名項目変更内容
2012-02-26 17:03anonymous新規課題
2012-02-27 17:12anonymousコメント追加: 0000787
2012-02-27 17:23anonymousパッケージlibpng jasper pidgin openldap libsoup gnutls telepathy-gabble rsyslog acpid cups rpm => libpng jasper pidgin openldap gnutls telepathy-gabble rsyslog acpid cups rpm
2012-02-27 17:23anonymousコメント追加: 0000788
2012-02-28 22:00anonymousコメント追加: 0000789
2012-02-28 22:05tomopコメント追加: 0000790
2012-02-29 16:22anonymousパッケージlibpng jasper pidgin openldap gnutls telepathy-gabble rsyslog acpid cups rpm => libpng jasper pidgin openldap gnutls telepathy-gabble rsyslog acpid cups rpm cvs libxml2 net-tools
2012-02-29 16:22anonymousコメント追加: 0000791
2012-02-29 16:38anonymousコメント追加: 0000792
2012-02-29 17:12daisuke状態新規 => 完了
2012-02-29 17:12daisuke解決状況不明 => 却下
2012-02-29 17:12daisukeコメント追加: 0000793

コメント
(0000787)
anonymous   
2012-02-27 17:12   
修正済みのパッケージを一時的に置いておきます (srcと6のみ)
libpng-1.2.47-1 (src/x86/x86_64)
CVE-2011-3026/VU#523889
http://178.18.250.134/rpm/security/libpng/ [^]

jasper-1.900.1-9 (src/x86/x86_64)
CVE-2007-2721
CVE-2008-3520
CVE-2008-3522
CVE-2011-4516/VU#887409
http://178.18.250.134/rpm/security/jasper/ [^]

libvorbis-1.3.1-2 (src/x86/x86_64)
CVE-2012-0444
http://178.18.250.134/rpm/security/libvorbis/ [^]

エラッタにlibsoupに関した情報を見かけたが、実際なおされていませんと思う。
http://vinelinux.org/errata/6x/20120124-2.html [^]
centos(/gnomeチーム)からのパッチ
--- a/libsoup/soup-server.c
+++ b/libsoup/soup-server.c
@@ -779,6 +779,15 @@ got_headers (SoupMessage *req, SoupClientContext *client)
 
         uri = soup_message_get_uri (req);
         decoded_path = soup_uri_decode (uri->path);
+
+ if (strstr (decoded_path, "/../") ||
+ g_str_has_suffix (decoded_path, "/..")) {
+ /* Introducing new ".." segments is not allowed */
+ g_free (decoded_path);
+ soup_message_set_status (req, SOUP_STATUS_BAD_REQUEST);
+ return;
+ }
+
         soup_uri_set_path (uri, decoded_path);
         g_free (decoded_path);
     }
(0000788)
anonymous   
2012-02-27 17:23   
libsoupに関しては見間違いです、すみませんでした。
間違ってSRPMS.mainのパッケージを取得しました。
SRPMS.updatesのlibsoupは確かに修正されています。
(0000789)
anonymous   
2012-02-28 22:00   
失礼ですが置いておきます。

libpng10-1.0.57-1
fix CVE-2011-3026/VU#523889
http://178.18.250.134/rpm/security/libpng10/ [^]

openldap-2.4.23-3
fix CVE-2011-1024
fix CVE-2011-1025
fix CVE-2011-1081
fix CVE-2011-4079
http://178.18.250.134/rpm/security/openldap/ [^]

gnutls-2.10.5-3
fix CVE-2011-4128
http://178.18.250.134/rpm/security/gnutls/ [^]

telepathy-gabble-0.10.5-1
fix CVE-2011-1000
http://178.18.250.134/rpm/security/telepathy-gabble/ [^]

pidgin-2.9.0-2
fix CVE-2011-4602
http://178.18.250.134/rpm/security/pidgin/ [^]

もう少し放置されたら残りの４つも修正してみます。
(0000790)
tomop   
2012-02-28 22:05   
　セキュリティ関連はこのBTSでは扱っていません。

　Security Watch Teamへの参加をご検討ください。こちらでは
挙げていただいたもので対応作業中のものもあります。

  http://vinelinux.org/securityteam.html [^]
(0000791)
anonymous   
2012-02-29 16:22   
非常に申し訳ありませんがどこで扱われるのかわかりませんのでやはり貼らせてもらいます。
>>1であげたものの他cvsとlibxmlのセキュリティ問題(どちらもlow)もなおした。
net-toolsはrhelからパッチを導入しました、主にsctpを対応するため。

cvs-1.12.13-5 (src/x86/x86_64)
- fix CVE-2012-0804
http://178.18.250.134/rpm/security/cvs/ [^]

libxml2-2.7.8-3 (src/x86/x86_64)
- fix CVE-2012-0841
http://178.18.250.134/rpm/security/libxml2/ [^]

rsyslog-5.6.5-2 (src/x86/x86_64)
- fix CVE-2011-3200
http://178.18.250.134/rpm/security/rsyslog/ [^]

acpid-2.0.14-1 (src/x86/x86_64)
- update to 2.0.14
- fix CVE-2011-1159
http://178.18.250.134/rpm/security/acpid/ [^]

rpm-4.8.1-4 (src/x86/x86_64)
- fix CVE-2011-3378
- add BuildRequires: libtool
- add BuildRequires: file-devel
http://178.18.250.134/rpm/security/rpm/ [^]

cups-1.4.6-3 (src/x86/x86_64)
- fix CVE-2011-2896/CVE-2011-3170
http://178.18.250.134/rpm/security/cups/ [^]

net-tools-1.60-15 (src/x86/x86_64)
- import patch from rhel (-HAVE_SELINUX)
- sctp patch included
http://178.18.250.134/rpm/security/net-tools/ [^]

これで全部なおしましたね。
あまりテストしていませんけど一応動きます。
(0000792)
anonymous   
2012-02-29 16:38   
sctpのサンプルコードもあげておきます(python)。

import socket
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM, 0x84)
s.bind(("127.0.0.1", 10000))
s.listen(10)
s.accept()

Cはsocket(AF_INET, SOCK_STREAM, IPPROTO_SCTP)でfdを作ればあとはtcpと同じ。

netstat -anp | grep sctp
でパッチあてないと見えません。
(0000793)
daisuke   
2012-02-29 17:12   
セキュリティ関連はこのBTSでは扱っていません。

セキュリティチームでは非公開・登録制のメーリングリストとBTSで
作業を行なっています。
http://vinelinux.org/securityteam.html [^]

取り扱う内容の関係で、登録・参加するには原則として本人確認でき
る何かが必要となります。よろしくお願いします。

本件については一旦閉じておきます。