GStreamer Good Pluginsにおいて、壊れたPNGイメージファイルを正しく扱わないという問題が報告されています。この問題によってアプリケーションのクラッシュや任意コードの実行が行われる危険性があるとのことです。対象となるのはUbuntu 6.06 LTS、 8.04 LTS、8.10、9.04のgstreamer0.10-plugins-goodで、それぞれ対策版がリリースされています。
USN-789-1: GStreamer Good Plugins vulnerability | Ubuntu
4月24日にリリースされた「Ubuntu Desktop 日本語 Remix CD」には、同梱されるWindowsファイルシステム用のインストールツールである「Wubi」に不具合があったとのことで、問題を修正したWubiを搭載したパッケージがリリースされました。なおWubiを利用しない場合にはこの問題には該当しないため、再ダウンロードの必要はないとのことです。
Ubuntu 9.04におけるWubiの不具合について | Ubuntu Japanese Team
ntpに複数の脆弱性が報告されており、パッケージがアップデートされています。ひとつはntpqでバッファオーバーフローが発生する危険性があるというもので、これによってサービス拒否攻撃や任意コードの実行が可能になるとのこと。もうひとつはautokeyにおいてスタックベースのバッファオーバーフローが発生する危険性があるというもので、この問題に該当します。対象はUbuntu 6.06 LTSのntp/ntp-serverおよびUbuntu 8.04 LTS、8.10、9.04のntpです。
USN-777-1: Ntp vulnerabilities | Ubuntu
libwmfに不正なメモリ使用を行う脆弱性が報告されており、対策のためlibwmf0.2-7がアップデートされています。この脆弱性により、加工したWMFファイルを用いてサービス拒否や任意コードの実行が可能になるとのことです。対象はUbuntu 6.06 LTS、8.04 LTS、8.10、9.04です。
USN-769-1: libwmf vulnerability | Ubuntu
clamav-milterの初期化スクリプトに、カレントディレクトリのオーナーを自動的に'clamav'に変更してしまうバグが報告されており、修正版がリリースされています。
USN-770-1: ClamAV vulnerability | Ubuntu
このアップデートによってすでにオーナーが変更されたディレクトリについても修復を試みますが、より確実に影響を受けたディレクトリを調べるために以下のコマンドを実行することが推奨されています。
$ sudo find -H / -type d -user clamav \! -group clamav 2>/dev/null
libmodplugに2つの脆弱性が報告されており、対策のためにlibmodplug0c2がアップデートされています。ひとつはMEDメディアファイルのパース中にパラメータを正しく処理しないことにより、任意のコードを実行できてしまうというもの。もうひとつはPATサンプルファイルのパースにおいて長いインストルメント名を正しく処理しないことにより、サービス拒否または任意のコードの実行が可能になるというもの。前者はUbuntu 6.06 LTS、8.04 LTS、8.10、9.04が対象。後者はUbuntu 9.04のみです。
USN-771-1: libmodplug vulnerabilities | Ubuntu
任意精度の浮動小数点演算ライブラリであるMPRFに脆弱性が報告されており、対策のためにlib64mpfr1およびlibmpfr1ldblがアップデートされています。この脆弱性によりMPRFを利用するプログラムにおいてサービス拒否が引き起こされたり、任意のコードの実行が可能になるといった危険があるとのことです。対象はUbuntu 9.04です。
USN-772-1: MPFR vulnerability | Ubuntu
Pango 1.0においてGlyph Stringsのレンダリング中に整数オーバーフローを引き起こす危険がある脆弱性が報告されており、対策のためにlibpango1.0-0がアップデートされています。対象はUbuntu 6.06 LTS、8.04 LTS、8.10です。
USN-773-1: Pango vulnerability | Ubuntu
Pythonで書かれたWikiクローンであるMoinMoinにクロスサイトスクリプティングを許容する脆弱性が報告されており、これに伴ってpython-moinmoinがアップデートされています。ターゲットはUbuntu 8.10と9.04です。
USN-774-1: MoinMoin vulnerability | Ubuntu]
バグレポート作成ツールであるApportに、レポート作成用ディレクトリから安全にファイルを削除できない問題が報告されており、修正版がリリースされました。対象はUbuntu 8.04 LTS、8.10、9.04です。
USN-768-1: Apport vulnerability | Ubuntu
Firefox 3.0.10がリリースされたことにともなって、Ubuntuのfirefox-3.0およびxulrunner-1.9もアップデートされています。念のため。
USN-765-1: Firefox and Xulrunner vulnerabilities | Ubuntu
FreeTypeにリモートから任意のコードを実行できる脆弱性が報告されており、libfreetype6がアップデートされました。 フォントファイル中の大きな値を適切に処理しないことから、ユーザが加工したフォントファイルを用いた場合にリモートからユーザ権限で任意のコードを実行できてしまう危険があったとのことです。対象はUbuntu 6.06 LTS、8.04 LTS、8.10、9.04。
USN-767-1: FreeType vulnerability | Ubuntu
acpidにDoSを許容する脆弱性が報告されており、修正版が公開されています。acpidが大量の接続を適切に処理しないことから、ローカルのユーザがDoSによってCPUリソースを占有できてしまうとのことです。対象はUbuntu 6.06 LTS、8.04 LTS、8.10、9.04。
USN-766-1: acpid vulnerability | Ubuntu
Ubuntu 8.10他で先日修正されたPHP5に関する脆弱性ですが、そのうち2件が9.04も対象となっており、修正版が公開されました。修正されたのはdisplay_errorsのバグとjson_decode関数のバグです。
USN-761-2: PHP vulnerabilities | Ubuntu
Ubuntu 9.04の正式版がリリースされました。
http://www.ubuntu.com/getubuntu/download
日本語環境もサポートされていますが、ライブ環境では一部日本語に対応していません。
Ubuntu Japanese Teamによる、日本語追加パッケージを含んだ「Ubuntu 9.04 Desktop 日本語 Remix CD」は24日中にリリース予定とのことです。
http://www.ubuntulinux.jp/News/ubuntu904
xine-libに複数の脆弱性が報告されており、libxine-main1およびlibxine1に修正版がリリースされています。対象はUbuntu 6.06 LTS、8.04 LTS、8.10。
USN-763-1: xine-lib vulnerabilities | Ubuntu
QT demuxerがSTTSにおいて大きいカウント値を適切に処理しないことから、ヒープベースのバッファオーバーフローを起こす危険性があるそうです。その他、複数の脆弱性がこのアップデートで修正されているとのことです。
PHP5に3件の脆弱性が報告されており、libapache2-mod-php5、php5-cgiおよびphp5-cliに修正版がリリースされています。対象はUbuntu 6.06 LTS、8.04 LTS、8.10。
USN-761-1: PHP vulnerabilities | Ubuntu
1件はdisplay_errorsのエラーメッセージを正しく確認しないことによりクロスサイトスクリプティングを許容してしまう危険性があること。2件目は仮想ホスト使用時に.htaccessのmbstring.func_overloadの設定を正しく処理しないことから、設定が同じサーバ上の他の仮想ホストに適用される危険性があったとのこと。3件目はjson_decode関数で文字列を適切にチェックしないことから、悪意のあるコードでPHPサーバをクラッシュさせることができるというものだそうです。
APTに2件の脆弱性が報告されており、Ubuntuにおいて修正版がリリースされています。対象はUbuntu 6.06 LTS、8.04 LTS、8.10。
USN-762-1: APT vulnerabilities | Ubuntu
1件はcronスクリプトで実行されるaptがdateコマンドの戻り値をチェックしないというもの。もし自動アップデートが夏時間の真夜中に設定されていた場合、この問題によってアップデートが実施されないかもしれないとのこと。もう1件はリポジトリの署名の期限および取消の有無をチェックしないというもので、これによってすでに有効でないリポジトリの署名を有効とみなしてしまうかもしれないとのことです。
CUPSのTIFFイメージ処理に脆弱性が報告されており、Ubuntuのlibcupsimage2がアップデートされました。対象はUbuntu 6.06 LTS、7.10、8.04 LTS、8.10です。
USN-760-1: CUPS vulnerability | Ubuntu
元になっているのはこの脆弱性で、TIFFイメージのheightプロパティを適切にチェックしないため整数オーバーフローを発生させる可能性があるとのことです。
フリーのPDFライブラリであるPopplerに複数の脆弱性が報告されており、Ubuntuのlibpopplerおよびlibpoppler-glibがアップデートされました。対象はUbuntu 6.06 LTS、8.04 LTS、8.10。
USN-759-1: poppler vulnerabilities | Ubuntu
元になっているのはこの脆弱性で、JBIG2データのデコード処理に問題があり、バッファオーバーフローや整数オーバーフロー、nullポインタの逆参照、無限ループなどが発生する可能性があるそうです。これによってプログラムのクラッシュや任意のコードの実行が可能になるとのこと。
