免费A级毛片在线播放不收费,国产麻豆剧传媒精品国产av,最近最好的2019中文,最好看免费观看高清电影大全

安全公告編號:CNTA-2015-0003

1月28日，CNVD收錄了GNU glibc‘__nss_hostname_digits_dots()’函數存在的一個緩沖區溢出漏洞（CNVD-2015-00719，對應CVE-2015-0235），互聯網上稱“Ghost”幽靈漏洞。經過對多個Linux操作系統的本地實例測試，成功利用該漏洞可以當前用戶權限執行任意代碼，進而控制操作系統主機。CNVD組織成員單位開展的進一步測試分析，認為該漏洞影響雖然較為廣泛，但從目前披露的利用方式看，要達到在遠程滲透成功需要一定前提（如：系統和網絡服務依賴關系和攻擊數據包長度），短期內出現大規模遠程攻擊的可能性還很小。目前GNU官方和部分Linux發行版廠商已經提供了修復補丁。

一、漏洞情況分析

glibc是GNU發布的libc庫，即c運行庫。glibc是linux系統中最底層的api，幾乎其它任何運行庫都會依賴于glibc。glibc除了封裝linux操作系統所提供的系統服務外，它本身也提供了許多其它一些必要功能服務的實現。

根據國外漏洞研究者公開的情況進行分析，glibc庫中__nss_hostname_digits_dots()函數存在緩沖區溢出漏洞，該漏洞產生的原因是glibc\nss\digits_dots.c 的__nss_hostname_digits_dots函數未加驗證使用 strcpy (hostname, name)，導致緩沖區溢出。該漏洞可通過gethostbyname*()函數在本地或者遠程觸發。

觸發的一般場景為：應用程序主要使用gethostbyname*()函數發起DNS請求，這個函數會將主機名稱轉換為ip地址，很多服務程序在調用gethostbyname()之前，會對其做DNS有效性檢查，而通常無法滿足這個長度要求。因此，當提交一個超長又合法的IP地址類型的字符串給gethostbyname()函數，就會觸發一個堆溢出。

二、漏洞影響范圍

雖然2013年5月21日GNU官方已經修復了此漏洞(介于glibc-2.17及glibc-2.18之間的版本)，但當時其未把相關情況作為漏洞處理，因此相關Linux發行版并未跟進升級。目前互聯網研究者測試情況匯總表明，Debian 7 (wheezy), Red Hat Enterprise Linux 6 & 7, CentOS 6&7, Ubuntu 12.04等大多數的Linux發行版都受此問題影響，對應受影響glic版本為Glibc 2.2/2.17，而Glibc 2.18未受到影響。

針對系統服務和應用服務的遠程測試情況國內外研究機構還正在進行，目前的初步結果表明絕大多數的本地SUID程序和服務程序無法利用漏洞攻擊成功， 目前已知受影響的程序有clockdiff，pppd，procmail，Exim，其中Exim郵件服務器已經有可利用的遠程攻擊代碼。

三、漏洞修復建議

GNU和各大Linux發行版廠商均已修復此漏洞，請廣大用戶盡快進行升級：

GNU C Library:http://www.**.org/software/libc/ （其中，**表示gnu）

RedHat: https://rhn.**.com/errata/RHSA-2015-0090.html（其中，**表示redhat）

Ubuntu:https://**.net/ubuntu/+source/eglibc （其中，**表示launchpad）

Debian: https://security-tracker.**.org/tracker/CVE-2015-0235(其中，**表示debian)

參考鏈接：

1.https://www.**.com/research/security-advisories/GHOST-CVE-2015-0235.txt（其中，**表示qualys）

2.http://www.**.net/index.php?act=alert&do=view&aid=153 （其中，**表示nsfocus）

3. https://rhn.**.com/errata/RHSA-2015-0090.html（其中，**表示redhat）

4. https://security-tracker.**.org/tracker/CVE-2015-0235（其中，**表示debian）

5.http://**.360.cn/news/detail/1166.html （其中，**表示bobao）

6. http://www.**.org.cn/flaw/show/CNVD-2015-00719（其中，**表示cnvd）

注：CNVD技術組成員單位綠盟科技、安天科技、東軟、奇虎360、天融信等公司提供了技術研判支持。CNVD根據測試情況重點采用了綠盟科技的研判結論。