GNU wget に HTTP プロトコルのハンドリングにおける値検証不備に起因するバッファオーバーフローの脆弱性(Scan Tech Report) | ScanNetSecurity
2024.06.17(月)

GNU wget に HTTP プロトコルのハンドリングにおける値検証不備に起因するバッファオーバーフローの脆弱性(Scan Tech Report)

ファイルのダウンロードなどを行うために利用されるコマンドである wget において、複数のバッファーオーバーフローの脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

ファイルのダウンロードなどを行うために利用されるコマンドである wget において、複数のバッファーオーバーフローの脆弱性が報告されています。脆弱性を悪用されてしまった場合、DoS 攻撃や遠隔から任意のコードを実行されてしまう可能性が考えられます。開発元である GNU Project から脆弱性を修正したバージョンが公開されているため、アップデートにより対策することを推奨します。

◆分析者コメント

本記事執筆時点 (2017 年 11 月 6 日) では DoS 攻撃を実行するエクスプロイトコードのみが公開されており、遠隔コード実行までできるエクスプロイトコードの公開を確認していません。上書き可能なメモリ領域によっては遠隔コード実行までできる可能性がありますが、実際に遠隔コード実行が可能であるかまでは情報が確認できていません。アップデートが行き届きにくいソフトウェアではありますが、別のソフトウェアにより意識せず利用されている可能性があるソフトウェアため、自身が管理している端末の wget のバージョンを確認し、アップデートによる対策を実施することを推奨します。

◆深刻度(CVSS)

◯ CVE-2017-13089 (スタックベースのバッファオーバーフロー脆弱性)
[CVSS v3]
7.8
https://access.redhat.com/security/cve/cve-2017-13089

◯ CVE-2017-13090 (ヒープベースのバッファオーバーフロー脆弱性)
[CVSS v3]
7.8
https://access.redhat.com/security/cve/cve-2017-13090

※ RedHat Linux の情報を記載しています。
※ 本記事では CVE-2017-13089 を中心に取り扱います。

◆影響を受けるソフトウェア

GNU wget のバージョン 1.19.2 未満が脆弱性の影響を受けると報告されています。

◆解説

ファイルのダウンロードなどを行うために利用されるコマンドである wget において、複数のバッファオーバーフローの脆弱性が公開されています。

《株式会社ラック デジタルペンテスト部》

関連記事

特集

PageTop

アクセスランキング

  1. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

  2. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  3. 「ネクストレベル」に不正アクセス、496,119 件のワーカーの個人情報流出

    「ネクストレベル」に不正アクセス、496,119 件のワーカーの個人情報流出

  4. ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

    ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

  5. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  6. 日経BP従業員メールアカウントに不正アクセス、33名の個人情報流出の可能性

    日経BP従業員メールアカウントに不正アクセス、33名の個人情報流出の可能性

  7. 約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

    約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

  8. オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

    オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

  9. IPA、中小企業向けの内部不正防止対策の報告書公開

    IPA、中小企業向けの内部不正防止対策の報告書公開

  10. イセトーにランサムウェア攻撃、複数のサーバと PC が暗号化被害

    イセトーにランサムウェア攻撃、複数のサーバと PC が暗号化被害

ランキングをもっと見る