The remote Ubuntu 16.04 ESM / 18.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4770-1 advisory.

    It was discovered that GlusterFS incorrectly handled network requests. An attacker could possibly use this     issue to cause a denial of service. This issue only affected Ubuntu 14.04 ESM. (CVE-2014-3619)

    It was discovered that GlusterFS incorrectly handled user permissions. An authenticated attacker could     possibly use this to add himself to a trusted storage pool and perform privileged operations on volumes.
    This issue only affected Ubuntu 16.04 ESM and Ubuntu 18.04 ESM. (CVE-2018-10841)

    It was discovered that GlusterFS incorrectly handled mounting gluster volumes. An attacker could possibly     use this issue to also mount shared gluster volumes and escalate privileges through malicious cronjobs.
    This issue only affected Ubuntu 16.04 ESM and Ubuntu 18.04 ESM. (CVE-2018-1088)

    It was discovered that GlusterFS incorrectly handled file paths. An attacker could possibly use this issue     to create arbitrary files and execute arbitrary code. (CVE-2018-10904)

    It was discovered that GlusterFS incorrectly handled mounting volumes. An attacker could possibly use this     issue to cause a denial of service or run arbitrary code. (CVE-2018-10907)

    It was discovered that GlusterFS incorrectly handled negative key length values. An attacker could     possibly use this issue to obtain sensitive information. (CVE-2018-10911)

    It was discovered that GlusterFS incorrectly handled FUSE requests. An attacker could use this issue to     obtain sensitive information. (CVE-2018-10913, CVE-2018-10914)

    It was discovered that GlusterFS incorrectly handled the file creation process. An authenticated attacker     could possibly use this issue to create arbitrary files and obtain sensitive information. (CVE-2018-10923)

    It was discovered that GlusterFS incorrectly handled certain inputs. An authenticated attacker could     possibly use this issue to cause a denial of service. This issue only affected Ubuntu 18.04 ESM.
    (CVE-2018-10924)

    It was discovered that GlusterFS incorrectly handled RPC requests. An attacker could possibly use this     issue to write files to an arbitrary location and execute arbitrary code. (CVE-2018-10926, CVE-2018-10927,     CVE-2018-10928, CVE-2018-10929, CVE-2018-10930)

    It was discovered that the fix for CVE-2018-10926, CVE-2018-10927, CVE-2018-10928, CVE-2018-10929,     CVE-2018-10930 was incomplete. A remote authenticated attacker could possibly use this issue to execute     arbitrary code or cause a denial of service. (CVE-2018-14651)

    It was discovered that GlusterFS incorrectly handled certain files. A remote authenticated attacker could     possibly use this issue to cause a denial of service. (CVE-2018-14652)

    It was discovered that GlusterFS incorrectly handled RPC requests. A remote authenticated attacker could     possibly use this issue to cause a denial of service or other unspecified impact. (CVE-2018-14653)

    It was discovered that GlusterFS incorrectly handled mount volumes operation. A remote attacker could     possibly use this issue to create arbitrary files. This issue only affected Ubuntu 18.04 ESM.
    (CVE-2018-14654)

    It was discovered that GlusterFS incorrectly handled certain files. A remote authenticated attacker could     possibly use this issue to create arbitrary files. (CVE-2018-14659)

    It was discovered that GlusterFS incorrectly handled certain inputs. A remote authenticated attacker could     possibly use this is issue to cause a denial of service. This issue only affected Ubuntu 18.04 ESM.
    (CVE-2018-14660)

    It was discovered that GlusterFS incorrectly handled strings. A remote authenticated attacker could     possibly use this issue to cause a denial of service. (CVE-2018-14661)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4770-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - GlusterFS 3.5 の __socket_proto_state_machine 関数により、リモートの攻撃者が、00000000 フラグメントヘッダーでサービス拒否 (無限ループ) を引き起こす可能性があります。(CVE-2014-3619)

  - glusterfs は、gluster サーバーノードでの権限昇格に対して脆弱です。TLS を介して認証された gluster クライアントは、--remote-hostコマンドで gluster cli を使用して自身を信頼できるストレージプールに追加し、他のマシンを信頼できるストレージプールに追加する、ボリュームを起動、停止、削除するなどの特権 gluster 操作を実行する可能性があります。(CVE-2018-10841)

  - gluster 3.x スナップショットスケジューラに権限昇格の欠陥が見つかりました。gluster ボリュームのマウントを許可されている gluster クライアントも、シンボリックリンクを介して悪意のある cronjob をスケジュールすることで、共有 gluster ストレージボリュームをマウントし、権限を昇格する可能性があります。(CVE-2018-1088)

  - glusterfs サーバーが、debug/io-stats トランスレーターによって使用される trusted.io-stats-dump 拡張属性のファイルパスを適切にサニタイズしないことが判明しました。攻撃者がこの欠陥を利用して、ファイルを作成し、任意のコードを実行する可能性があります。この攻撃者を悪用するには、gluster ボリューム上のファイルの拡張属性を変更するための十分なアクセス権が必要です。(CVE-2018-10904)

  -「alloca(3)」を使用して固定サイズのバッファを割り当てる server-rpc-fopc.c の関数により、glusterfs サーバーが複数のスタックベースのバッファオーバーフローに対して脆弱であることが判明しました。認証された攻撃者は、gluster ボリュームをマウントし、固定バッファサイズより長い文字列を送信することでこれを悪用し、クラッシュやコード実行を引き起こす可能性があります。(CVE-2018-10907)

  - glusterfs の dic_unserialize 関数に、負のキー長の値を処理しないという欠陥が見つかりました。攻撃者がこの欠陥を悪用し、他の場所のメモリを保存されている dict 値に読み込む可能性があります。
    (CVE-2018-10911)

  - 情報漏洩の脆弱性が、glusterfs サーバーで見つかりました。攻撃者は、glusterfs FUSE を介して xattr リクエストを発行し、ファイルの存在を判断する可能性があります。(CVE-2018-10913)

  - 攻撃者が glusterfs FUSE を介して xattr リクエストを発行し、gluster ブリックプロセスをクラッシュさせ、リモートのサービス拒否を引き起こす可能性があることが判明しました。gluster の多重化が有効な場合、複数のブリックと gluster ボリュームのクラッシュが発生します。(CVE-2018-10914)

  - mknod(2) から派生した mknod 呼び出しが、glusterfs サーバーノード上のデバイスを指すファイルを作成する可能性があることが判明しました。認証された攻撃者がこれを利用して、任意のデバイスを作成し、glusterfs サーバーノードに接続されている任意のデバイスからデータを読み取る可能性があります。(CVE-2018-10923)

  - glusterfs クライアントコードの fsync(2) システムコールによりメモリが漏洩することが発見されました。認証された攻撃者がこの欠陥を利用して、gluster クライアントにホストマシンのメモリを消費させることで、サービス拒否攻撃を仕掛ける可能性があります。(CVE-2018-10924)

  - glusterfs サーバーでサポートされている gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、パストラバーサルを介してファイルを任意の場所に書き込み、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10926)

  - glusterfs サーバーの gfs3_mknod_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ブリックプロセスをクラッシュさせることで、情報を漏洩し、リモートのサービス拒否を実行する可能性があります。
    (CVE-2018-10927)

  - glusterfs サーバーの gfs3_symlink_req を使用する RPC リクエストに欠陥が見つかりました。これにより、シンボリックリンクの宛先が gluster ボリューム外のファイルパスを指す可能性があります。認証された攻撃者がこの欠陥を利用して、サーバー上の任意の場所を指す任意のシンボリックリンクを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。(CVE-2018-10928)

  - glusterfs サーバーの gfs2_create_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、任意のファイルを作成し、glusterfs サーバーノードで任意のコードを実行する可能性があります。
    (CVE-2018-10929)

  - glusterfs サーバーの gfs3_rename_req を使用する RPC リクエストに欠陥が見つかりました。認証された攻撃者がこの欠陥を利用して、gluster ボリューム外の宛先に書き込む可能性があります。(CVE-2018-10930)

  -、CVE-2018-10927CVE-2018-10928、CVE-2018-10929、CVE-2018-10930、CVE-2018-10926の修正が不完全であることがわかりました。認証されたリモート攻撃者が、これらの欠陥の 1 つを利用して、相対パスへのシンボリックリンクを介して、glusterfs サーバーノードで任意コード実行、任意ファイル作成、またはサービス拒否を引き起こす可能性があります。(CVE-2018-14651)

  - バージョン 3.12 ～ 4.1.4 までの Gluster ファイルシステムは、「pl_getxattr」関数で「GF_XATTR_CLRLK_CMD」xattr を処理するコードを介した、「features/index」トランスレーターにおけるバッファオーバーフローに脆弱です。認証されたリモート攻撃者がマウントされたボリュームでこれを悪用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14652)

  - バージョン 4.1.4 および 3.12 までの Gluster ファイルシステムは、「gf_getspec_req」RPC メッセージを介した「__server_getspec」関数でのヒープベースのバッファオーバーフローに脆弱です。認証されたリモート攻撃者がこれを悪用して、サービス拒否を引き起こしたり、詳細不明なその他の影響を及ぼしたりする可能性があります。(CVE-2018-14653)

  - バージョン 4.1.4 までの Gluster ファイルシステムは、「features/index」トランスレーターの悪用に対して脆弱です。マウントボリュームへのアクセス権を持つリモートの攻撃者が「GF_XATTROP_ENTRY_IN_KEY」xattrop を介してこれを悪用し、ターゲットサーバーに任意の空のファイルを作成する可能性があります。(CVE-2018-14654)

  - バージョン 4.1.4 および 3.1.2 までの Gluster ファイルシステムは、「GF_XATTR_IOSTATS_DUMP_KEY」xattr の使用によるサービス拒否攻撃に脆弱です。認証されたリモート攻撃者がこれを悪用し、Gluster ボリュームをマウントし、「setxattr(2)」を繰り返し呼び出すことで状態ダンプを誘発し、サーバーのランタイムディレクトリに任意の数のファイルを作成する可能性があります。(CVE-2018-14659)

  - バージョン 4.1.4 および 3.1.2 までの glusterfs サーバーに欠陥が見つかりました。これにより、GF_META_LOCK_KEY xattr を繰り返し使用することが可能でした。認証されたリモートの攻撃者がこの欠陥を利用し、setxattr を繰り返し使用することで単一の inode に複数のロックを作成し、glusterfs サーバーノードをメモリ枯渇させる可能性があります。
    (CVE-2018-14660)

  - Red Hat Gluster Storage に搭載される、glusterfs サーバー 3.8.4 の feature/locks トランスレーターの snprintf 関数を使用すると、フォーマット文字列攻撃に対して脆弱であることが分かりました。認証されたリモート攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。(CVE-2018-14661)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机受到 GLSA-201904-06 中所述漏洞的影响（GlusterFS：多个漏洞）在 GlusterFS 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：如需详细信息，请查看供参考的 CVE 标识符。解决方法：目前无任何已知的解决方法。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4770-1 公告中提及的多个漏洞影响。

  - GlusterFS 3.5 中的 __socket_proto_state_machine 函数允许远程攻击者通过 00000000 片段标头造成拒绝服务（无限循环）。(CVE-2014-3619)

  - glusterfs 容易受到 gluster 服务器节点上的特权提升漏洞影响。通过 TLS 进行身份验证的 gluster 客户端可以使用带有 --remote-host 命令的 gluster cli，来将其自身添加到受信任的存储池并执行特权 gluster 操作，例如将其他计算机添加到受信任的存储池、启动、停止和删除卷。(CVE-2018-10841)

  - 在 gluster 3.x 快照调度程序中发现一个特权提升缺陷。任何允许挂载 gluster 卷的 gluster 客户端也可通过符号链接调度恶意 cronjob，以此挂载共享的 gluster 存储卷并提升特权。(CVE-2018-1088)

  - 据发现，glusterfs 服务器未正确审查 debug/io-stats 转换器使用的 trusted.io-stats-dump 扩展属性中的文件路径。攻击者可利用此缺陷创建文件和执行任意代码。要利用此缺陷，攻击者需要有足够的权限来修改 gluster 卷上文件的扩展属性。(CVE-2018-10904)

  - 据发现，glusterfs 服务器容易受到多种基于堆栈的缓冲区溢出漏洞影响，这是 server-rpc-fopc.c 中的函数使用“alloca(3)”分配固定大小的缓冲区所致。经过身份验证的攻击者可利用此漏洞，通过挂载 gluster 卷并发送长于固定缓冲区大小的字符串，来造成崩溃或潜在代码执行。(CVE-2018-10907)

  - 在 glusterfs 的 dic_unserialize 函数中发现一个缺陷，该函数未处理负密钥长度值。攻击者可利用此缺陷，从其他位置读取内存到存储的 dict 值中。
    (CVE-2018-10911)

  - 在 glusterfs 服务器中发现一个信息泄露漏洞。攻击者可通过 glusterfs FUSE 发出 xattr 请求，以确定各个文件是否存在。(CVE-2018-10913)

  - 据发现，攻击者可通过 glusterfs FUSE 发出 xattr 请求，造成 gluster 程序块进程崩溃，进而导致远程拒绝服务。如果启用了 gluster 多路复用，这将导致多个程序块和 gluster 卷崩溃。(CVE-2018-10914)

  - 据发现，从 mknod(2) 派生的 mknod 调用可创建指向 glusterfs 服务器节点上的设备的文件。经过身份验证的攻击者可利用此问题创建任意设备，以及从连接到 glusterfs 服务器节点的任何设备读取数据。(CVE-2018-10923)

  - 发现 glusterfs 客户端代码中的 fsync(2) 系统调用会泄漏内存。经过身份验证的攻击者可以利用此缺陷，通过让 gluster 客户端消耗主机内存来发起拒绝服务攻击。(CVE-2018-10924)

  - 在使用 glusterfs 服务器支持的 gfs3_mknod_req 的 RPC 请求中发现一个缺陷。经过身份验证的攻击者可利用此缺陷，通过路径遍历将文件写入一个任意位置，并在 glusterfs 服务器节点上执行任意代码。(CVE-2018-10926)

  - 在使用 glusterfs 服务器支持的 gfs3_lookup_req 的 RPC 请求中发现一个缺陷。经过身份验证的攻击者可利用此缺陷，通过导致 gluster 程序块崩溃来泄漏信息并执行远程拒绝服务。
    (CVE-2018-10927)

  - 在使用 glusterfs 服务器中的 gfs3_symlink_req 的 RPC 请求中发现一个缺陷，此缺陷允许符号链接目标指向 gluster 卷之外的文件路径。经过身份验证的攻击者可利用此缺陷，创建指向服务器任意位置的任意符号链接，并在 glusterfs 服务器节点上执行任意代码。(CVE-2018-10928)

  - 在使用 glusterfs 服务器的 gfs2_create_req 的 RPC 请求中发现一个缺陷。经过身份验证的攻击者可利用此缺陷创建任意文件，并在 glusterfs 服务器节点上执行任意代码。
    (CVE-2018-10929)

  - 在使用 glusterfs 服务器支持的 gfs3_rename_req 的 RPC 请求中发现一个缺陷。经过身份验证的攻击者可利用此缺陷写入 gluster 卷之外的目标。(CVE-2018-10930)

  - 发现针对 CVE-2018-10927、CVE-2018-10928、CVE-2018-10929、CVE-2018-10930 和 CVE-2018-10926 的修复不完整。经过身份验证的远程攻击者通过相关路径的符号链接，利用上述缺陷中的一个即可造成执行任意代码、创建任意文件或造成对 glusterfs 服务器节点拒绝服务。(CVE-2018-14651)

  - 通过“pl_getxattr”函数中处理“GF_XATTR_CLRLK_CMD”xattr 的代码，3.12 到 4.1.4 之间的 Gluster 文件系统版本容易受到“features/index”翻译器中的缓冲区溢出漏洞的影响。经过身份验证的远程攻击者可利用这一点在挂载的卷上造成拒绝服务。(CVE-2018-14652)

  - 通过“gf_getspec_req”RPC 消息，4.1.4 到 3.12 之间版本的 Gluster 文件系统容易受到“__server_getspec”函数中基于堆的缓冲区溢出漏洞的影响。经过身份验证的远程攻击者可利用此漏洞，造成拒绝服务或可能造成其他不明影响。(CVE-2018-14653)

  - 版本 4.1.4 之前的 Gluster 文件系统容易受到滥用“features/index”转换器的影响。具有挂载卷访问权限的远程攻击者可利用此问题，方法是通过“GF_XATTROP_ENTRY_IN_KEY”xattrop 在目标服务器上创建任意空文件。(CVE-2018-14654)

  - 通过使用“GF_XATTR_IOSTATS_DUMP_KEY”xattr，4.1.4 到 3.1.2 之间版本的 Gluster 文件系统容易受到拒绝服务攻击。经过身份验证的远程攻击者可能会利用此漏洞，通过挂载 Gluster 卷并反复调用“setxattr(2)”来触发状态转储，并在服务器的运行时目录中创建任意数量的文件。(CVE-2018-14659)

  - 在 4.1.4 到 3.1.2 之间版本的 glusterfs 服务器中发现一个缺陷，此缺陷允许重复使用 GF_META_LOCK_KEY xattr。经过身份验证的远程攻击者可利用此缺陷，通过重复使用 setxattr 来为单个 inode 创建多个锁，从而导致 glusterfs 服务器节点的内存耗尽。
    (CVE-2018-14660)

  - 据发现，在随 Red Hat Gluster Storage 提供的 glusterfs 服务器 3.8.4 的 feature/locks 翻译器中，若使用 snprintf 函数，则容易遭受格式字符串攻击。经过身份验证的远程攻击者可利用此缺陷造成远程拒绝服务。(CVE-2018-14661)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 ESM / 18.04 ESM 主機上安裝的多個套件受到 USN-4770-1 公告中提及的多個弱點影響。

  - GlusterFS 3.5 中的 __socket_proto_state_machine 函式允許遠端攻擊者透過 00000000 片段標頭造成拒絕服務 (無限迴圈)。(CVE-2014-3619)

  - glusterfs 容易受到 gluster 伺服器節點上的權限提升弱點影響。透過 TLS 進行身份驗證的 gluster 用戶端可使用具有 --remote-host 命令的 gluster cli，將其本身新增至受信任的儲存集區，並執行有權限的 gluster 作業，例如將其他計算機新增至受信任的儲存集區、啟動、停止和刪除磁碟區。(CVE-2018-10841)

  - 在 gluster 3.x 的快照排程器中發現權限提升缺陷。任何允許掛載 gluster 磁碟區的 gluster 用戶端也可以透過符號連結排程惡意 cronjob，藉此掛載共用的 gluster 儲存磁碟區並提升權限。(CVE-2018-1088)

  - 據發現，glusterfs 伺服器未正確清理 debug/io-stats 轉譯器所使用的 trusted.io-stats-dump 延伸屬性中的檔案路徑。攻擊者可利用此缺陷來建立檔案並執行任意程式碼。若要利用此弱點，攻擊者需要有足夠的存取權來修改 gluster 磁碟區上檔案的延伸屬性。(CVE-2018-10904)

  - 據發現，glusterfs 伺服器容易受到多個堆疊型緩衝區溢位弱點影響，這是因為 server-rpc-fopc.c 中使用「alloca(3)」配置固定大小的緩衝區的函式所導致。經驗證的攻擊者可藉由掛載 gluster 磁碟區並傳送超過固定緩衝區大小的字串，利用此弱點造成當機或可能執行程式碼。(CVE-2018-10907)

  - 在 glusterfs 的 dic_unserialize 函式中發現一個缺陷，dic_unserialize 函式無法處理負的金鑰長度值。攻擊者可利用此缺陷，將其他位置的記憶體讀入已儲存的 dict 值。
    (CVE-2018-10911)

  在 glusterfs 伺服器中發現資訊洩漏弱點。攻擊者可透過 glusterfs FUSE 發出 xattr 要求，以確定是否存在任何檔案。(CVE-2018-10913)

  - 據發現，攻擊者可透過 glusterfs FUSE 發出 xattr 要求，造成 gluster brick 程序損毀，進而在遠端導致拒絕服務。如果啟用了 gluster 多工，這將導致多個 brick 和 gluster 磁碟區損毀。(CVE-2018-10914)

  - 據發現，自 mknod(2) 衍生的 mknod 呼叫可建立指向 glusterfs 伺服器節點上裝置的檔案。經驗證的攻擊者可利用此弱點建立任意裝置，並從附加到 glusterfs 伺服器節點的任何裝置讀取資料。(CVE-2018-10923)

  - 據發現，glusterfs 用戶端程式碼中的 fsync(2) 系統呼叫會洩漏記憶體。經驗證的攻擊者可利用此瑕疵，使 gluster 用戶端消耗主機機器的記憶體，藉此發動拒絕服務攻擊。(CVE-2018-10924)

  - 在使用 glusterfs 伺服器支援的 gfs3_mknod_req 的 RPC 要求中發現一個缺陷。經驗證的攻擊者可利用此缺陷，透過路徑遊走將檔案寫入任意位置，並在 glusterfs 伺服器節點上執行任意程式碼。(CVE-2018-10926)

  - 在 glusterfs 伺服器中使用 gfs3_lookup_req 的 RPC 要求中發現一個缺陷。經驗證的攻擊者可利用此缺陷洩漏資訊，並藉由損毀 gluster brick 程序在遠端造成拒絕服務。
    (CVE-2018-10927)

  - 在 glusterfs 伺服器中使用 gfs3_symlink_req 的 RPC 要求中發現一個缺陷，其允許符號連結目的地指向 gluster 磁碟區之外的檔案路徑。經驗證的攻擊者可利用此缺陷建立指向伺服器任何位置的任意符號連結，並在 glusterfs 伺服器節點上執行任意程式碼。(CVE-2018-10928)

  - 在 glusterfs 伺服器中使用 gfs2_create_req 的 RPC 要求中發現一個缺陷。經驗證的攻擊者可利用此缺陷建立任意檔案，並在 glusterfs 伺服器節點上執行任意程式碼。
    (CVE-2018-10929)

  - 在 glusterfs 伺服器中使用 gfs3_rename_req 的 RPC 要求中發現一個缺陷。經驗證的攻擊者可利用此缺陷寫入 gluster 磁碟區之外的目的地。(CVE-2018-10930)

  - 據發現，對於 CVE-2018-10927、CVE-2018-10928、CVE-2018-10929、CVE-2018-10930 和 CVE-2018-10926 的修正不完整。經驗證的遠端攻擊者可利用其中一個缺陷，透過相對路徑的符號連結在 glusterfs 伺服器節點上執行任意程式碼、建立任意檔案，或者導致拒絕服務。(CVE-2018-14651)

  - 在 Gluster 檔案系統 3.12 之前的所有版本和 4.1.4 版中，「features/index」轉譯器存在緩衝區溢位弱點，透過「pl_getxattr」函式中處理「GF_XATTR_CLRLK_CMD」xattr 的程式碼可觸發此弱點。經驗證的遠端攻擊者可在掛載的磁碟區上利用此弱點造成拒絕服務。(CVE-2018-14652)

  - 在 Gluster 檔案系統 4.1.4 之前的所有版本和 3.12 版中，「__server_getspec」函式存在堆積型緩衝區溢位弱點，透過「gf_getspec_req」訊息可觸發此弱點。經驗證的遠端攻擊者可利用此弱點，造成拒絕服務或可能造成其他不明影響。(CVE-2018-14653)

  - Gluster 檔案系統 4.1.4 之前的所有版本容易受到「features/index」轉換器濫用問題影響。具有掛載的磁碟區存取權的遠端攻擊者可藉由「GF_XATTROP_ENTRY_IN_KEY」xattrop，利用此弱點在目標伺服器上建立任意空白檔案。(CVE-2018-14654)

  - Gluster 檔案系統 4.1.4 之前的所有版本和 3.1.2 版容易受到拒絕服務攻擊，藉由使用「GF_XATTR_IOSTATS_DUMP_KEY」xattr 可觸發此攻擊。經驗證的遠端攻擊者可藉由裝載 Gluster 磁碟區並反複呼叫「setxattr(2)」來利用此弱點觸發狀態傾印，並在伺服器的執行階段目錄中建立任意數量的檔案。(CVE-2018-14659)

  - 在 glusterfs 伺服器 4.1.4 之前版本和 3.1.2 版中發現一個缺陷，允許重複使用 GF_META_LOCK_KEY xattr。經驗證的遠端攻擊者可利用此缺陷，藉由重複使用 setxattr 來為單一 inode 建立多個鎖，進而導致 glusterfs 伺服器節點的記憶體耗盡。
    (CVE-2018-14660)

  - 據發現，glusterfs 伺服器 3.8.4 版 (隨 Red Hat Gluster Storage 提供) 的 feature/locks 解譯器中使用的 snprintf 函式容易受到格式字串攻擊。經驗證的遠端攻擊者可利用此缺陷造成遠端拒絕服務。(CVE-2018-14661)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-201904-06 中所述的弱點影響 (GlusterFS：多個弱點) 在 GlusterFS 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：如需詳細資料，請檢閱提及的 CVE 識別碼。因應措施：目前尚無已知的因應措施。

This update for glusterfs fixes the following issues :

glusterfs was update to release 3.12.15 :

  - Fixed a number of bugs and security issues :

  - CVE-2018-1088, CVE-2018-1112 [boo#1090084],     CVE-2018-10904 [boo#1107018], CVE-2018-10907     [boo#1107019], CVE-2018-10911 [boo#1107020],     CVE-2018-10913 [boo#1107021], CVE-2018-10914     [boo#1107022], CVE-2018-10923 [boo#1107023],     CVE-2018-10924 [boo#1107024], CVE-2018-10926     [boo#1107025], CVE-2018-10927 [boo#1107026],     CVE-2018-10928 [boo#1107027], CVE-2018-10928     [boo#1107027], CVE-2018-10929 [boo#1107028],     CVE-2018-10930 [boo#1107029], boo#1105776 .

The remote host is affected by the vulnerability described in GLSA-201904-06 (GlusterFS: Multiple Vulnerabilities)

    Multiple vulnerabilities have been discovered in GlusterFS. Please       review the referenced CVE identifiers for details.
  Impact :

    Please review the referenced CVE identifiers for details.
  Workaround :

    There is no known workaround at this time.

このglusterfsの更新では、次の問題を修正します：

glusterfsのリリース3.12.15への更新：

  - 多数のバグとセキュリティ問題を修正しました：

  - CVE-2018-1088、CVE-2018-1112（boo#1090084）、CVE-2018-10904（boo#1107018）、CVE-2018-10907（boo#1107019）、CVE-2018-10911（boo#1107020）、CVE-2018-10913（boo#1107021）、CVE-2018-10914（boo#1107022）、CVE-2018-10923（boo#1107023）、CVE-2018-10924（boo#1107024）、CVE-2018-10926（boo#1107025）、CVE-2018-10927（boo#1107026）、CVE-2018-10928（boo#1107027）、CVE-2018-10928（boo#1107027）、CVE-2018-10929（boo#1107028）、CVE-2018-10930（boo#1107029）、boo#1105776。

リモートホストはGLSA-201904-06に記載されているように、脆弱性の影響を受けます（GlusterFS：複数の脆弱性）GlusterFSに複数の脆弱性が見つかりました。詳細については、記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

ID	Name	Product	Family	Published	Updated	Severity
183640	Ubuntu 16.04 ESM / 18.04 ESM : GlusterFS vulnerabilities (USN-4770-1)	Nessus	Ubuntu Local Security Checks	10/21/2023	9/3/2025	high
183640	Ubuntu 16.04ESM / 18.04ESM : GlusterFS の脆弱性 (USN-4770-1)	Nessus	Ubuntu Local Security Checks	10/21/2023	9/3/2025	high
123580	GLSA-201904-06：GlusterFS：多个漏洞	Nessus	Gentoo Local Security Checks	4/2/2019	6/6/2024	high
183640	Ubuntu 16.04 ESM / 18.04 ESM：GlusterFS 漏洞 (USN-4770-1)	Nessus	Ubuntu Local Security Checks	10/21/2023	9/3/2025	high
183640	Ubuntu 16.04 ESM / 18.04 ESM：GlusterFS 弱點 (USN-4770-1)	Nessus	Ubuntu Local Security Checks	10/21/2023	9/3/2025	high
123580	GLSA-201904-06：GlusterFS：多個弱點	Nessus	Gentoo Local Security Checks	4/2/2019	6/6/2024	high
133132	openSUSE Security Update : glusterfs (openSUSE-2020-79)	Nessus	SuSE Local Security Checks	1/21/2020	3/29/2024	high
123580	GLSA-201904-06 : GlusterFS: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	4/2/2019	6/6/2024	high
133132	openSUSEセキュリティ更新プログラム：glusterfs（openSUSE-2020-79）	Nessus	SuSE Local Security Checks	1/21/2020	3/29/2024	high
123580	GLSA-201904-06：GlusterFS：複数の脆弱性	Nessus	Gentoo Local Security Checks	4/2/2019	6/6/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high