製品・ソフトウェアに関する情報
脆弱性検索
Linux 上などで Ingres の verifydb における任意のファイルを上書きされる脆弱性
タイトル Linux 上などで Ingres の verifydb における任意のファイルを上書きされる脆弱性
概要

Linux 上およびその他の Unix プラットフォーム上の Ingres の verifydb には、アプリケーション自身のログファイルを検証しないで iivdb.log ファイルの所有者またはパーミッションを設定するため、任意のファイルを上書きされる脆弱性が存在します。

想定される影響 ローカルユーザにより、iivdb.log ファイル名でシンボリックリンクを作成されることで、任意のファイルを上書きされる可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日 2008年8月1日0:00
登録日 2012年9月25日17:17
最終更新日 2012年9月25日17:17
CVSS2.0 : 警告
スコア 4.6
ベクター AV:L/AC:L/Au:N/C:P/I:P/A:P
影響を受けるシステム
ingres
ingres 2.6、2006 release 1、および 2006 release 2
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
変更履歴
No 変更内容 変更日
0 [2012年09月25日]
  掲載		 2018年2月17日10:37
NVD脆弱性情報
CVE-2008-3356
概要

verifydb in Ingres 2.6, Ingres 2006 release 1 (aka 9.0.4), and Ingres 2006 release 2 (aka 9.1.0) on Linux and other Unix platforms sets the ownership or permissions of an iivdb.log file without verifying that it is the application's own log file, which allows local users to overwrite arbitrary files by creating a symlink with an iivdb.log filename.

概要

verifydb en Ingres 2.6, Ingres 2006 versión 1 (alias 9.0.4), y Ingres 2006 versión 2 (alias 9.1.0) en Linux y otras plataformas Unix que establece la propiedad o permisos del archivo iivdb.log, sin verificar que es el archivo log propio de la aplicación, lo que permite a los usuarios sobrescribir arbitrariamente archivos creando un enlace simbólico con un nombre de archivo iivdb.log.

公表日 2008年8月6日4:41
登録日 2021年1月29日13:39
最終更新日 2026年4月23日9:35
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:ingres:ingres:2.6:*:*:*:*:*:*:*
cpe:2.3:a:ingres:ingres:2006:9.0.1:*:*:*:*:*:*
cpe:2.3:a:ingres:ingres:2006:9.0.4:*:*:*:*:*:*
cpe:2.3:a:ingres:ingres:2006:release_1:*:*:*:*:*:*
cpe:2.3:a:ingres:ingres:2006:release_2:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧