1. 情報セキュリティブログ ホーム
  2. セキュリティニュース
  3. GNU Cライブラリ(glibc)にバッファオーバーフローの脆弱性(CVE-2015-0235)が確認される

GNU Cライブラリ(glibc)にバッファオーバーフローの脆弱性(CVE-2015-0235)が確認される

GNU Cライブラリ(glibc)にバッファオーバーフローの脆弱性(CVE-2015-0235)が確認される1月27日(現地時間)、セキュリティ企業の米国クオリス(Qualys)社は、GNU Cライブラリ(glibc:ジーリブシー)に深刻な脆弱性があることを明らかにした。glibcは、UNIX互換のフリーソフトウェアの実装を推進するGNUプロジェクトによる標準Cライブラリ(C言語の標準規格で定められたプログラム部品)で、主要なLinuxディストリビューション(一般利用者がLinuxをインストールし、利用できる形態にパッケージされたもの)で使用されている重要なものである。

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERTコーディネーションセンター(JPCERT/CC)によると、glibcのバージョン2.2から2.17には、細工したホスト名を gethostbyname などの関数の引数に渡すことにより、バッファオーバーフローの一種であるヒープオーバーフローが発生する脆弱性が存在する。この脆弱性が悪用されると、リモートの攻撃者に任意のコードを実行されたり、DoS攻撃を受けるなど複数の影響を受ける可能性がある。なお、問題を指摘したクオリス社は、この脆弱性を「GHOST」と命名した。

一方、トレンドマイクロ社は、その後の調査により、この脆弱性は深刻であるものの、攻撃に利用するのが難しく、攻撃の可能性は極めて低いとの見解を明らかにしている。

この脆弱性は、バージョン2.18では修正されており、Linuxディストリビューションによっては対策パッケージが提供されているという。IPAでは、開発者が提供する情報をもとに、アップデート、修正プログラム、パッチ等を適用するよう呼びかけている。

glibc の脆弱性対策について(CVE-2015-0235)(IPA)
glibc ライブラリにバッファオーバーフローの脆弱性(JVNVU#99234709)
・(英文)クオリス社のセキュリティアドバイザリ
Linuxに存在する脆弱性「GHOST」、システム管理者は落ち着いて対処を(トレンドマイクロ セキュリティブログ)

関連キーワード:

DoS攻撃

GHOST

Linux

バッファオーバーフロー

脆弱性

  • 内閣サイバーセキュリティセンター(NISC)とは
  • カテゴリートップへ
  • 警告表示からソフトウェアを購入するよう誘導される手口にIPAが注意喚起