glibcライブラリにバッファオーバーフローの脆弱性

• EnterpriseIdentityManager Linux版の全バージョン

EnterpriseIdentityManagerでは下記の影響がある機能を利用していませんので、
お客様にて利用されている場合のみ影響があります。

• EDSサーバ:

LDAPでSSL通信を行う設定の場合のみ、当該脆弱性の影響を受ける場合があります。
詳細は以下のとおりです。

(1) EDSサーバがSSL接続を受ける場合
    SSLサーバ認証のみ (ldapd.confのldapSSLVerifyModeが0) の場合は影響を
    受けません。SSL クライアント認証を行う設定の場合は、クライアント証明書に不正な
    (本脆弱性を突くような) ホスト名が記載されている場合に影響を受けることがあります。

(2) EDSサーバがSSL接続を開始する場合 (レプリケーション、referralなど)
    通信相手のサーバ証明書に不正なホスト名が記載されていなければ影響を
    受けません。通信相手のサーバ証明書に不正なホスト名が記載されている場合は
    影響を受けることがあります。

• EDSクライアントコマンド：

(1) EIM V3.0以前の場合
    コマンドの引数に本脆弱性を突くような細工されたホスト名を指定した場合
    影響を受けます。

(2) EIM V4.0以降の場合
    EDSクライアントコマンドは本脆弱性の影響を受けません。

[対策]

glibcの修正パッケージの適用のご検討をお願いします。
glibc 2.18で修正されています。また、Linuxの各ディストリビューションにつきましては、
各ディストリビューションが提供する情報を参照ください。

• SecureBranch Ver.3.2.x
• SecureBranch 中継サーバ Ver3.2.x

[対策]

以下のお客様専用サイトで提供しているパッチを適用してください。
https://www.nec.co.jp/support/securebranch/_member_/

パッチファイル名

• glibc-2.5-123.el5_11.1.i386.rpm
• glibc-2.5-123.el5_11.1.i686.rpm
• glibc-common-2.5-123.el5_11.1.i386.rpm
• nscd-2.5-123.el5_11.1.i386.rpm

※パッチは保守契約を結んでいただいたお客様に限定して提供させていただいています。

Japan Vulnerability Notes JVNVU#99234709:
glibc ライブラリにバッファオーバーフローの脆弱性
http://jvn.jp/vu/JVNVU99234709/index.html

CERT/CC Vulnerability Note VU#967332:
GNU C Library (glibc) __nss_hostname_digits_dots() function vulnerable to buffer overflow
http://www.kb.cert.org/vuls/id/967332

CVE-2015-0235:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0235