製品・ソフトウェアに関する情報

JVN脆弱性詳細

GNU patch の util.c におけるディレクトリトラバーサルの脆弱性

タイトル	GNU patch の util.c におけるディレクトリトラバーサルの脆弱性
概要	GNU patch の util.c には、ディレクトリトラバーサルの脆弱性が存在します。本問題は、CVE-2010-1679 に関連する可能性があります。
想定される影響	攻撃者により、.. (dot dot) またはフルパス名を指定されているファイル名を介して、任意のファイルを作成されるまたは上書きされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2011年3月11日0:00
登録日	2011年7月5日9:00
最終更新日	2014年12月3日16:33

CVSS2.0 : 警告
スコア	5.8
ベクター	AV:N/AC:M/Au:N/C:N/I:P/A:P

影響を受けるシステム

GNU Project

GNU patch 2.6.1 およびそれ以前

アップル

Apple Mac OS X v10.5.8

Apple Mac OS X v10.6 から v10.6.7

Apple Mac OS X Server v10.5.8

Apple Mac OS X Server v10.6 から v10.6.7

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2010-4651	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4651
National Vulnerability Database (NVD)
2	CVE-2010-4651	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-4651

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-22	https://jvndb.jvn.jp/ja/cwe/CWE-22.html

ベンダー情報

No	名前	URL
Apple Mailing Lists
1	APPLE-SA-2011-06-23-1	http://lists.apple.com/archives/security-announce/2011//Jun/msg00000.html
Apple Security Updates
2	HT4723	http://support.apple.com/en-eu/HT4723
Apple セキュリティアップデート
3	HT4723	http://support.apple.com/ja-jp/HT4723
bug-patch
4	Directory traversal vulnerability in patch	http://lists.gnu.org/archive/html/bug-patch/2010-12/msg00000.html
Fedora Update Notification
5	FEDORA-2011-1269	https://lists.fedoraproject.org/pipermail/package-announce/2011-March/055246.html
6	FEDORA-2011-1272	https://lists.fedoraproject.org/pipermail/package-announce/2011-March/055241.html
Red Hat Bugzilla
7	Bug 667529	https://bugzilla.redhat.com/show_bug.cgi?id=667529
Savannah Git Hosting
8	Do not let a malicious patch create files above current directory	http://git.savannah.gnu.org/cgit/patch.git/commit/?id=685a78b6052f4df6eac6d625a545cfb54a6ac0e1
SECURITY BLOG
9	Multiple vulnerabilities in GNU patch utility	https://blogs.oracle.com/sunsecurity/entry/multiple_vulnerabilities_in_gnu_patch

その他

No	名前	URL
Secunia Advisory
1	SA43677	http://secunia.com/advisories/43677
関連文書
2	CVE request: patch directory traversal flaw	http://openwall.com/lists/oss-security/2011/01/05/10
3	Re: CVE request: patch directory traversal flaw (2011/01/06/19)	http://openwall.com/lists/oss-security/2011/01/06/19
4	Re: CVE request: patch directory traversal flaw (2011/01/06/20)	http://openwall.com/lists/oss-security/2011/01/06/20
5	Re: CVE request: patch directory traversal flaw (2011/01/06/21)	http://openwall.com/lists/oss-security/2011/01/06/21

変更履歴

No	変更内容	変更日
0	[2011年07月05日] 掲載 [2014年12月03日] ベンダ情報：アップル (APPLE-SA-2011-06-23-1) を追加ベンダ情報：オラクル (Multiple vulnerabilities in GNU patch utility) を追加ベンダ情報：Fedora Project (FEDORA-2011-1269) を追加ベンダ情報：Fedora Project (FEDORA-2011-1272) を追加ベンダ情報：GNU Project (Do not let a malicious patch create files above current directory) を追加ベンダ情報：レッドハット (Bug 667529) を追加参考情報：関連文書 (CVE request: patch directory traversal flaw) を追加参考情報：関連文書 (Re: CVE request: patch directory traversal flaw (2011/01/06/19)) を追加参考情報：関連文書 (Re: CVE request: patch directory traversal flaw (2011/01/06/20)) を追加参考情報：関連文書 (Re: CVE request: patch directory traversal flaw (2011/01/06/21)) を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2010-4651

概要	Directory traversal vulnerability in util.c in GNU patch 2.6.1 and earlier allows user-assisted remote attackers to create or overwrite arbitrary files via a filename that is specified with a .. (dot dot) or full pathname, a related issue to CVE-2010-1679.
公表日	2011年3月12日7:55
登録日	2021年1月29日11:09
最終更新日	2024年11月21日10:21

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:gnu:gnu_patch:2.5.4:::::::*
cpe:2.3:a:gnu:gnu_patch::::::::		2.6.1
cpe:2.3:a:gnu:gnu_patch:2.5.9:::::::*
cpe:2.3:a:gnu:gnu_patch:2.6:::::::*
cpe:2.3:a:gnu:gnu_patch:2.5:::::::*

関連情報、対策とツール

No	URL	タグ
1	http://git.savannah.gnu.org/cgit/patch.git/commit/?id=685a78b6052f4df6eac6d625a545cfb54a6ac0e1	Patch
2	http://lists.apple.com/archives/security-announce/2011//Jun/msg00000.html
3	http://lists.fedoraproject.org/pipermail/package-announce/2011-March/055241.html	Patch
4	http://lists.fedoraproject.org/pipermail/package-announce/2011-March/055246.html	Patch
5	http://lists.gnu.org/archive/html/bug-patch/2010-12/msg00000.html	Patch
6	http://openwall.com/lists/oss-security/2011/01/05/10	Patch
7	http://openwall.com/lists/oss-security/2011/01/06/19	Patch
8	http://openwall.com/lists/oss-security/2011/01/06/20
9	http://openwall.com/lists/oss-security/2011/01/06/21	Patch
10	http://secunia.com/advisories/43663	Vendor Advisory
11	http://secunia.com/advisories/43677	Vendor Advisory
12	http://support.apple.com/kb/HT4723
13	http://www.securityfocus.com/bid/46768
14	http://www.vupen.com/english/advisories/2011/0600	Vendor Advisory
15	https://bugzilla.redhat.com/show_bug.cgi?id=667529	Patch
16	http://git.savannah.gnu.org/cgit/patch.git/commit/?id=685a78b6052f4df6eac6d625a545cfb54a6ac0e1	Patch
17	https://bugzilla.redhat.com/show_bug.cgi?id=667529	Patch
18	http://www.vupen.com/english/advisories/2011/0600	Vendor Advisory
19	http://www.securityfocus.com/bid/46768
20	http://support.apple.com/kb/HT4723
21	http://secunia.com/advisories/43677	Vendor Advisory
22	http://secunia.com/advisories/43663	Vendor Advisory
23	http://openwall.com/lists/oss-security/2011/01/06/21	Patch
24	http://openwall.com/lists/oss-security/2011/01/06/20
25	http://openwall.com/lists/oss-security/2011/01/06/19	Patch
26	http://openwall.com/lists/oss-security/2011/01/05/10	Patch
27	http://lists.gnu.org/archive/html/bug-patch/2010-12/msg00000.html	Patch
28	http://lists.fedoraproject.org/pipermail/package-announce/2011-March/055246.html	Patch
29	http://lists.fedoraproject.org/pipermail/package-announce/2011-March/055241.html	Patch
30	http://lists.apple.com/archives/security-announce/2011//Jun/msg00000.html

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-22	パス・トラバーサル	https://cwe.mitre.org/data/definitions/22.html