glibc ライブラリの脆弱性

この記事は[本家ブログで書いた](http://text.baldanders.info/remark/2016/02/vulnerability-glibc-library/)ものだが，書いた当時の JVN の CVSSv3 評価値が 6.5 だったので「注意喚起」程度に考えていたが， NVD のほうの評価値が 8.1 とかなり高いので，こちらにも転載する。

----

 GNU C ライブラリ（glibc）に `send_dg()` および `send_vc()` の処理に起因するスタックベースのバッファオーバーフロー脆弱性が存在する。

“[Google Online Security Blog: CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow](https://googleonlinesecurity.blogspot.jp/2016/02/cve-2015-7547-glibc-getaddrinfo-stack.html)” より

> The glibc DNS client side resolver is vulnerable to a stack-based buffer overflow when the getaddrinfo() library function is used. Software using this function may be exploited with attacker-controlled domain names, attacker-controlled DNS servers, or through a man-in-the-middle attack.</q>

glibc は中核的なライブラリであり，広範囲の製品に影響する可能性がある。[Proof of Concept](https://github.com/fjserna/CVE-2015-7547) あり。

### 影響度（CVSS）

[JVNVU#97236594](http://jvn.jp/vu/JVNVU97236594/) より

**CVSSv3 基本評価値 6.5 (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:L)**

| 基本評価基準                            | 評価値            |
|----------------------------------------:|:------------------|
| 攻撃元区分（AV）                        | ネットワーク（N） |
| 攻撃条件の複雑さ（AC）                  | 高（H）           |
| 必要な特権レベル（PR）                  | 不要（N）         |
| ユーザ関与レベル（UI）                  | 不要（N）         |
| スコープ（S）                           | 変更なし（U）     |
| 情報漏えいの可能性（機密性への影響, C） | なし（N）         |
| 情報改ざんの可能性（完全性への影響, I） | 高（H）           |
| 業務停止の可能性（可用性への影響, A）   | 低（L）           |

[CVE-2015-7547](https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7547) より

**CVSSv3 基本評価値 8.1 (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)**

| 基本評価基準                            | 評価値            |
|----------------------------------------:|:------------------|
| 攻撃元区分（AV）                        | ネットワーク（N） |
| 攻撃条件の複雑さ（AC）                  | 高（H）           |
| 必要な特権レベル（PR）                  | 不要（N）         |
| ユーザ関与レベル（UI）                  | 不要（N）         |
| スコープ（S）                           | 変更なし（U）     |
| 情報漏えいの可能性（機密性への影響, C） | 高（H）           |
| 情報改ざんの可能性（完全性への影響, I） | 高（H）           |
| 業務停止の可能性（可用性への影響, A）   | 高（H）           |

CVSS については[解説ページ]({{< relref "remark/2015/cvss-v3-metrics-in-jvn.md" >}})を参照のこと。

## 影響を受ける製品

- glibc 2.9 ～ 2.22 を含む製品（各ベンダの情報を参照のこと）
    - 主要な Linux ディストリビューションは既に対処済み
    - 各クラウド・サービスに影響する可能性あり
    - Linux 系のスイッチやルータに影響する可能性あり
    - Android では独自のライブラリを使っているため影響なしか？
    - アプリケーションが glibc を static に取り込んでいる場合も要注意

## 対策・回避策

- [パッチが提供](https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html)されているので適用すること。

## 参考

- [Google Online Security Blog: CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow](https://googleonlinesecurity.blogspot.jp/2016/02/cve-2015-7547-glibc-getaddrinfo-stack.html)
- [JVNVU#97236594: glibc にバッファオーバーフローの脆弱性](http://jvn.jp/vu/JVNVU97236594/)
- [glibc ライブラリの脆弱性 (CVE-2015-7547) に関する注意喚起](https://www.jpcert.or.jp/at/2016/at160009.html)
- [glibcの脆弱性対策（取り急ぎiptables/firewalldで叩き落とす！）for CVE-2015-7547 - Qiita](http://qiita.com/kawaz/items/1b07429b28851f997dba)
- [glibc脆弱性についてのまとめ - Qiita](http://qiita.com/kkyouhei/items/b42f38192b546839b19a)
- [GNU Cライブラリの脆弱性（CVE-2015-7547）についてまとめてみた - piyolog](http://d.hatena.ne.jp/Kango/20160217/1455725647)
- [「glibc」ライブラリに脆弱性、Linuxの大部分に深刻な影響 - ITmedia エンタープライズ](http://www.itmedia.co.jp/enterprise/articles/1602/17/news065.html)
- [リモートコード実行の恐れ：glibcにバッファオーバーフローの脆弱性。パッチ情報と回避策は - ＠IT](http://www.atmarkit.co.jp/ait/articles/1602/17/news140.html)
- [glibc 脆弱性（CVE-2015-7547）への対応について | Movable Type ニュース](http://www.sixapart.jp/movabletype/news/2016/02/18-1100.html)
- [IIJ Security Diary: CVE-2015-7547 glibcにおけるgetaddrinfoの脆弱性について](https://sect.iij.ad.jp/d/2016/02/197129.html)

> 組織内ネットワークなどの第三者から直接到達不可能なプライベートネットワークにおいては、 同様にリスクとしては限定されると思われます。

- [IIJ Security Diary: CVE-2015-7547 対策における信頼できるキャッシュサーバとは](https://sect.iij.ad.jp/d/2016/02/225250.html)
- [VMware製品へのglibc脆弱性の影響情報 - Qiita](http://qiita.com/tsukamoto/items/065c19b2bb004911d32a)
- [A Skeleton Key of Unknown Strength | Dan Kaminsky's Blog](http://dankaminsky.com/2016/02/20/skeleton/)
- [Extremely severe bug leaves dizzying number of software and devices vulnerable | Ars Technica](http://arstechnica.com/security/2016/02/extremely-severe-bug-leaves-dizzying-number-of-apps-and-devices-vulnerable/)