Debian セキュリティ勧告

DSA-2382-1 ecryptfs-utils -- 複数の脆弱性

報告日時:

2012-01-07

影響を受けるパッケージ:

ecryptfs-utils

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-2011-1831, CVE-2011-1832, CVE-2011-1834, CVE-2011-1835, CVE-2011-1837, CVE-2011-3145.

詳細:

Linux の暗号化ファイルシステム ecryptfs-utils に複数の欠陥が発見されました。

CVE-2011-1831
Openwall プロジェクトの Vasiliy Kulikov さんと Dan Rosenberg さんにより、eCryptfs が指定されたマウントポイントに対するパーミッションのチェックを誤っていることが発見されました。ローカルの攻撃者はこの欠陥を用いて任意の場所にマウントを行えるため、特権の昇格につながります。
CVE-2011-1832
Openwall プロジェクトの Vasiliy Kulikov さんと Dan Rosenberg さんにより、eCryptfs が指定されたマウントポイントに対するパーミッションのチェックを誤っていることが発見されました。ローカルの攻撃者はこの欠陥を用いて任意の場所のアンマウントを行えるため、サービス拒否攻撃につながります。
CVE-2011-1834
Dan Rosenberg および Marc Deslauriers さんにより、eCryptfs がエラー発生時に mtab ファイルに対する変更を誤ることが発見されました。ローカルの攻撃者はこの欠陥を悪用して mtab ファイルを破壊することが可能で、さらに任意の場所のアンマウントを行える可能性があるため、サービス拒否攻撃につながります。
CVE-2011-1835
Marc Deslauriers さんにより、eCryptfs が暗号化されたプライベートディレクトリの設定の際に鍵の扱いを誤っていることが発見されました。ローカルの攻撃者はこの欠陥を悪用して新しいユーザの作成の際に鍵を操作することができます。
CVE-2011-1837
Openwall プロジェクトの Vasiliy Kulikov さんにより、eCryptfs のロックカウンタ処理に欠陥が発見されました。ローカルの攻撃者はこの欠陥を悪用して任意のファイルの上書きが可能です。

今回は、Ubuntu ディストリビューションでの修正作業の結果を殆ど変更無く Debian パッケージに取り込むことができました。

旧安定版 (oldstable) ディストリビューション (lenny) では、これらの問題はバージョン 68-1+lenny1 で修正されています。

安定版 (stable) ディストリビューション (squeeze) では、これらの問題はバージョン 83-4+squeeze1 で修正されています。

テスト版 (wheezy) および不安定版 (unstable) ディストリビューションでは、これらの問題はバージョン 95-1 で修正されています。

直ぐに ecryptfs-utils パッケージをアップグレードすることを勧めます。