安全公告/【CVE-2023-31130】

基本信息

漏洞名称:
受影响操作系统:红旗Asianux服务器操作系统 V8
危险等级:中危
影响源码包:c-ares
CVSS评分:6.4
发现日期:2024-08-14
修复日期:2024-08-28
修复版本:c-ares-1.16.1-7

漏洞描述

c-ares是一个异步解析器库。ares_net_pton（）易受某些ipv6地址的缓冲区下溢的影响，特别是发现“0:：00:00:00/2”会导致问题。C-ares仅在内部使用此函数进行配置，这需要管理员通过ares_set_sortlist（）配置这样的地址。但是，用户可能会在外部将ares_net_pton（）用于其他目的，因此容易受到更严重问题的影响。此问题已在1.19.1中修复。

漏洞判定

执行命令yum info PackageName获取软件包版本号，版本小于修复版本，则受此漏洞影响，版本大于等于修复版本，则此漏洞已修复

修复方式

软件包升级
dnf  update c-ares

补丁

参考

https://github.com/c-ares/c-ares/releases/tag/cares-1_19_1;https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v;https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/B5Z5XFNXTNPTCBBVXFDNZQVLLIE6VRBY/;https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UBFWILTA33LOSV23P44FGTQQIDRJHIY7/;https://www.debian.org/security/2023/dsa-5419;https://lists.debian.org/debian-lts-announce/2023/06/msg00034.html;https://security.gentoo.org/glsa/202310-09;https://security.netapp.com/advisory/ntap-20240605-0005/;