glibcのgethostbyname系関数に脆弱性、「GHOST」と呼ばれる

あるAnonymous Coward 曰く、　クラウドセキュリティ企業Qualysの研究者が、GNU Cライブラリ（glibc）に深刻な脆弱性があることを発見した（JVNVU#99234709、CVE-2015-0235、ZDNet Japan）。

　この脆弱性は「GHOST」と呼ばれており、これを利用することでリモートから任意のコードが実行される可能性があるという。

　脆弱性が存在するのはglibc 2.2からglibc 2.17までで、piyologによるとglibcの__nss_hostname_digits_dots() にヒープバッファオーバーフローの脆弱性があり、この関数はgethostbyname()とgethostbyname2()で使われているという（Red Hat Bugzilla）。これら関数に細工されたURL文字列を与えることで、バッファオーバーフローを引き起こせる可能性があるようだ。

　Qualysによれば、この問題は2013年5月21日にリリースされたglibc 2.17とglibc 2.18の間のバグフィックスで修正されているという。ところが、このバグフィックスはセキュリティ上の問題であるとは分類されていなかったため、多くのLinuxディストリビューションには適用されていないという。

　スラッシュドットのコメントを読む | Linuxセクション | Linux | セキュリティ

　関連ストーリー：
Google、OS Xの未解決の脆弱性を公開 2015年01月27日
OpenSSL、計8件の脆弱性を修正 2015年01月11日
Gitに深刻な脆弱性、緊急メンテナンスリリースが公開される 2014年12月20日
SSL 3.0の脆弱性「POODLE」はTLSにも影響する 2014年12月12日