Cyrus SASLの脆弱性(Important: CVE-2022-24407)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

02/22/2022Cyrus SASLの脆弱性(Important: CVE-2022-24407)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。



[過去の関連リンク]


Priority

CVE番号 影響するバージョン 一次情報源 Priority CVSS Score / CVSS Vector
CVE-2022-24407 2.1.16 <= Cyrus SASL <= 2.1.28

New in 2.1.28

Red Hat: 9.1 Important

Red Hat: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24407
    • 特権昇格の可能性
    • Cyrus SASLと共に同梱されていたSQLプラグインに問題が見つかりました。SQL入力の正しいエスケープ処理に問題があるため、リモートの攻撃者により任意のSQLコマンドを実行することが可能になります。これによりユーザの権限昇格ができる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

New in 2.1.28

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。

前へ

Linux Kernelの脆弱性(Important: CVE-2022-25636)

次へ

PHPの脆弱性情報(Moderate: CVE-2021-21708)と修正バージョン( 7.4.28, 8.0.16, 8.1.3 )