JVNVU#97322697: ICU4C ライブラリに複数の脆弱性

ICU Project の ICU4C ライブラリには、ヒープバッファオーバーフローの脆弱性と整数オーバーフローの脆弱性が存在します。

ICU4C ライブラリバージョン 52 から 54 まで

本脆弱性は、ICU4C バージョン 55.1 で修正されています。

ICU は Unicode 関連の処理を行うためのオープンソースのライブラリです。C、C++ 言語版の ICU4C と Java 言語版の ICU4J があります。ICU4C には次の 2つの脆弱性が存在します。

ヒープバッファオーバーフロー (CWE-122) - CVE-2014-8146
ubidi.c の resolveImplicitLevels 関数において、複数の境界外書き込みが発生する可能性があります。

整数オーバーフロー (CWE-190) - CVE-2014-8147
ubidi.c の resolveImplicitLevels 関数において、int32 型の値を int16 型変数に代入することによる整数オーバーフローが発生する可能性があります。

攻撃者によって、サービス運用妨害 (DoS) 攻撃を受けたり任意のコードを実行されたりする可能性があります。

開発者向けの対策
製品で使用されている ICU4C をアップデートしてください。

製品利用者向けの対策
各開発者が提供する情報をもとにアップデートしてください。

ベンダ	リンク
ICU Project	ICU Home Page
	Download ICU 55

CERT/CC Vulnerability Note VU#602540
ICU Project ICU4C library contains multiple overflow vulnerabilities
GitHub pedrib
Heap overflow and integer overflow in ICU library

2015.05.07における脆弱性分析結果(CVSS Base Metrics)

CVSSとは

評価尺度	評価値			説明
攻撃元区分(AV)	ローカル (L)	隣接 (A)	ネットワーク (N)	物理アクセスやローカル環境から攻撃可能
攻撃条件の複雑さ(AC)	高 (H)	中 (M)	低 (L)	攻撃成立に何らかの条件が必要
攻撃前の認証要否(Au)	複数 (M)	単一 (S)	不要 (N)	認証は不要
機密性への影響(C)	なし (N)	部分的 (P)	全面的 (C)	一部の情報が漏えいする
完全性への影響(I)	なし (N)	部分的 (P)	全面的 (C)	情報の正確さや完全さが部分的に損なわれる
可用性への影響(A)	なし (N)	部分的 (P)	全面的 (C)	システムの使用が部分的に阻害される

Base Score:4.4

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2014-8146
	CVE-2014-8147
JVN iPedia

JVNVU#97322697 ICU4C ライブラリに複数の脆弱性

JVNVU#97322697
ICU4C ライブラリに複数の脆弱性