-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

各位

                                                  JPCERT-AT-2016-0009
                                                            JPCERT/CC
                                                     2016-02-17(新規)
                                                     2016-02-19(更新)

                 <<< JPCERT/CC Alert 2016-02-17 >>>

      glibc ライブラリの脆弱性 (CVE-2015-7547) に関する注意喚起

            https://www.jpcert.or.jp/at/2016/at160009.html


I. 概要

  glibc ライブラリにはバッファオーバーフローの脆弱性 (CVE-2015-7547) 
があります。本脆弱性を使用された場合、遠隔の第三者によって、任意のコー
ドを実行されたり、サービス運用妨害 (DoS) 攻撃が行われたりするなどの可
能性があります。

  本脆弱性やその影響については以下を参照してください。

    Japan Vulnerability Notes JVNVU#97236594
    glibc にバッファオーバーフローの脆弱性
    https://jvn.jp/vu/JVNVU97236594/


II. 対象

　以下のバージョンが影響を受けます。

  - glibc 2.9 およびそれ以降のバージョン

  ディストリビュータが提供している glibc ライブラリについても本脆弱性
の影響を受ける場合があります。本件に関連して、ディストリビュータから影
響を受ける製品とバージョンの情報が公開されています。詳細は、使用中の
ディストリビュータなどからの情報を参照してください。

  - RedHat
    - Red Hat Enterprise Linux Server EUS (v. 6.6)
    - Red Hat Enterprise Linux Server AUS (v. 6.5)
    - Red Hat Enterprise Linux Server AUS (v. 6.4)
    - Red Hat Enterprise Linux Server AUS (v. 6.2)
    - Red Hat Enterprise Linux Server EUS (v. 7.1)
    - Red Hat Enterprise Linux version 6
    - Red Hat Enterprise Linux version 7
  - Debian
    - squeeze
    - wheezy
    - jessie
  - Ubuntu
    - Ubuntu 15.10
    - Ubuntu 14.04 LTS
    - Ubuntu 12.04 LTS


III. 対策

　glibc project より脆弱性に対する対策パッチが公開されています。十分な
テストを実施の上、適用をご検討ください。

    [PATCH] CVE-2015-7547 --- glibc getaddrinfo() stack-based buffer overflow
    https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

  ディストリビュータが提供している glibc ライブラリをお使いの場合には、
使用中のディストリビュータなどの情報を参照し、修正済みバージョンの適用
をご検討ください。


IV. 参考情報

    SANS Internet Storm Center
    CVE-2015-7547: Critical Vulnerability in glibc getaddrinfo
    https://isc.sans.edu/forums/diary/CVE20157547+Critical+Vulnerability+in+glibc+getaddrinfo/20737/

    RedHat,Inc
    CVE-2015-7547
    https://access.redhat.com/security/cve/cve-2015-7547

    Debian Project
    CVE-2015-7547
    https://security-tracker.debian.org/tracker/CVE-2015-7547

    Canonical Ltd (Ubuntu)
    USN-2900-1: GNU C Library vulnerability
    http://www.ubuntu.com/usn/usn-2900-1/

** 更新: 2016年2月19日追記 ******************************************
　　US-CERT
    GNU glibc Vulnerability
    https://www.us-cert.gov/ncas/current-activity/2016/02/17/GNU-glibc-Vulnerability

    株式会社日本レジストリサービス (JPRS)
   （緊急）GNU C Library（glibc）の脆弱性について（CVE-2015-7547）
    https://jprs.jp/tech/security/2016-02-18-glibc-vuln-getaddrinfo.html
*********************************************************************


  今回の件につきまして当方まで提供いただける情報がございましたら、ご連
絡ください。

________
改訂履歴
2016-02-17 初版
2016-02-19 「IV. 参考情報」の修正

======================================================================
一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: info@jpcert.or.jp
TEL:03-3518-4600       FAX: 03-3518-4602
https://www.jpcert.or.jp/
-----BEGIN PGP SIGNATURE-----

iQEcBAEBCAAGBQJWxoQFAAoJEDF9l6Rp7OBIARMH+gKQr9oTanacNsgysr9xYvJp
yIwwtSUAtbPJjUBr6A+GJisAfEe9k3JmDQ1MSieNUzllIgm1S6zDGktzejO0UfhO
ygRU37JtcPBIfpQ0w8ZrUBBg9t/DghVLrF/wwVA4AP1fk2jPGIp2JrVh+cMeuN0Z
RlGx7sOOMkfZ16JPvFUyPQKMTUnbq2iGl27TDn0p/MjIrYHjpJGoDYPsw+IHrmJL
xbPD5IRTOOdeFV/acGwvNTSuDDMOrKncDorx87y+sGV3MtDLKNIT7ATgdPQbNPF9
zq4slhtXED+KEcyqFeceDNQivX5Ehk/dSURJPEAJX7m4Z8PTyycVv86ZZNN0Flc=
=zAj9
-----END PGP SIGNATURE-----