-
Title
NetVault Backup glibc 脆弱性(CVE-2015-7547)について -
Description
脆弱性 (CVE-2015-7547)によるNetVault Bare Metal Recovery製品への影響について
CVE-2015-7547について:
glibc には、send_dg(1) および send_vc(2) の処理に起因するスタックベースのバッファオーバーフローの脆弱性が存在します。
GNU Cライブラリ(glibc もしくは libc6)のバージョン2.23以前では遠隔の攻撃者によって、任意のコードを実行されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
この脆弱性は"dual A/AAAA DNS クエリ"やlibnss_dns.so.2 NSS モジュールを実行する際に、AF_UNSPEC アドレスファミリーやAF_INET6アドレスファミリーを使用して getaddrinfo を呼び出すアプリケーションが影響を受けます。
-
Resolution
NetVault Backup (NVBU)について:
NetVault Backupやプラグインはglibcライブラリを同梱しておらず、NetVaultプロセスはOSにインストールされたglibcをダイナミックリンクします。NetVault Backupは本脆弱性の影響を受けませんが、オペレーティングシステムのセキュリティを確保するために、ベンダー提供のパッチを適用して下さい。また、パッチ適用方法については各ベンダーまでお問い合わせください。
パッチ適用時にはNetVault Backupサービスを停止してから作業を実施して下さい。NetVault Bare Metal Recovery (NVBMR)について:
NetVault Bare Metal Recovery (NVBMR)製品群ではglibcを含むGiga OSをベースとしているため、本脆弱性の影響の対象となります。
本脆弱性の修正済みライブラリを含めたBMRは以下のバージョンとしてリリースしております。
弊社サポート・ポータルよりダウンロードしてご利用ください。
・ NetVault Bare Metal Recovery 11.0 Revision 1
・ NetVault Bare Metal Recovery 10.5 Revision 1
・ NetVault Bare Metal Recovery 10.0.0.10glibc脆弱性のモジュールはリリースされておりますが、NetVault Bare Metal Recovery Offline Clientは常時起動しているLinuxマシンとは違い、NetVault Backupを使用したバックアップおよびリストア時の限定した時間にのみ使用します。また、NetVault Backupを使用したバックアップおよびリストアをするために最低限必要なパッケージ以外のアプリケーションはインストールされておりません。そのため、当glibc脆弱性による影響は限定的となり、ほぼないと考えられます。