fix for CVE-2018-5704 (RHBZ 1534844)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Josef Gajdusek discovered that OpenOCD, a JTAG debugger for ARM and MIPS, was vulnerable to Cross Protocol Scripting attacks. An attacker could craft a HTML page that, when visited by a victim running OpenOCD, could execute arbitrary commands on the victims host.

This fix also sets the OpenOCD default binding to localhost, instead of every network interfaces. This can be changed with the added 'bindto'command argument.

Josef Gajdusek氏は、ARMおよびMIPS用のJTAGデバッガであるOpenOCDが、クロスプロトコルスクリプティング攻撃に脆弱であることを発見しました。攻撃者はHTMLページを細工し、OpenOCDを実行している被害者がこのページを訪問すると、被害者のホストで任意のコマンドを実行する可能性があります。

また、この修正により、OpenOCDのデフォルトのバインディングが各ネットワークインターフェイスではなくローカルホストに設定されます。これは、追加されたbindto'command引数で変更できます。

ARM 和 MIPS 系統的晶片上 JTAG 偵錯解決方案 OpenOCD 未阻止嘗試使用 HTTP POST 將資料傳送至 localhost，遠端攻擊者可藉此透過特製網站，發動跨通訊協定指令碼攻擊，進而導致執行任意命令。針對 Debian 7「Wheezy」，這些問題已在 0.5.0-1+deb7u1 版本中修正。建議您升級 openocd 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Josef Gajdusek 发现 ARM 和 MIPS 的 JTAG 调试器 OpenOCD 容易受到跨协议脚本攻击。攻击者可特制一个 HTML 页面，当运行 OpenOCD 的受害者访问时，可在受害者主机上执行任意命令。此修复还将 OpenOCD 默认绑定设置为 localhost，而不是每个网络接口。可使用新增的“bindto”命令参数对此进行更改。

CVE-2018-5704の修正（RHBZ 1534844）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ARM 和 MIPS 系统的片上 JTAG 调试解决方案 OpenOCD 未阻止使用 HTTP POST 将数据发送到本地主机的尝试，可允许远程攻击者通过特制的网站进行跨协议脚本攻击，从而执行任意命令。对于 Debian 7“Wheezy”，这些问题已在 0.5.0-1+deb7u1 版本中修复。建议您升级 openocd 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Josef Gajdusek 發現 ARM 和 MIPS 的 JTAG 偵錯程式 OpenOCD 容易受到跨通訊協定指令碼攻擊。攻擊者可利用特製的 HTML 頁面，以利執行 OpenOCD 的受害者造訪該頁面時，藉此在受害者的主機上執行任意命令。此修正還將 OpenOCD 預設繫結設定為 localhost，而非所有網路介面。此設定可藉由加入「bindto」命令引數加以變更。

OpenOCD, an on-chip JTAG debug solution for ARM and MIPS systems, does not block attempts to use HTTP POST for sending data to localhost, which allows remote attackers to conduct cross-protocol scripting attacks, and consequently execute arbitrary commands, via a crafted website.

For Debian 7 'Wheezy', these problems have been fixed in version 0.5.0-1+deb7u1.

We recommend that you upgrade your openocd packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ARMおよびMIPSシステム用のオンチップJTAGデバッグソリューションであるOpenOCDは、ローカルホストへのデータ送信にHTTP POSTを使用する試行をブロックしません。これにより、リモートの攻撃者がクロスプロトコルスクリプティング攻撃を実行し、細工されたWebサイトを介して任意のコマンドを実行する可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン0.5.0-1+deb7u1で修正されました。

お使いのopenocdパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	Name	Product	Family	Published	Updated	Severity
122569	Fedora 28 : openocd (2019-f0add5eed0)	Nessus	Fedora Local Security Checks	3/4/2019	6/17/2024	critical
106213	Debian DSA-4093-1 : openocd - security update	Nessus	Debian Local Security Checks	1/22/2018	11/13/2018	critical
106213	DebianDSA-4093-1：openocd - セキュリティ更新	Nessus	Debian Local Security Checks	1/22/2018	11/13/2018	critical
106209	Debian DLA-1253-1：openocd 安全性更新	Nessus	Debian Local Security Checks	1/22/2018	1/11/2021	critical
106213	Debian DSA-4093-1：openocd - 安全更新	Nessus	Debian Local Security Checks	1/22/2018	11/13/2018	critical
122569	Fedora 28：openocd（2019-f0add5eed0）	Nessus	Fedora Local Security Checks	3/4/2019	6/17/2024	critical
106209	Debian DLA-1253-1：openocd 安全更新	Nessus	Debian Local Security Checks	1/22/2018	1/11/2021	critical
106213	Debian DSA-4093-1：openocd - 安全性更新	Nessus	Debian Local Security Checks	1/22/2018	11/13/2018	critical
122556	Fedora 29 : openocd (2019-0a5e82cea8)	Nessus	Fedora Local Security Checks	3/4/2019	6/18/2024	critical
106209	Debian DLA-1253-1 : openocd security update	Nessus	Debian Local Security Checks	1/22/2018	1/11/2021	critical
122556	Fedora 29：openocd（2019-0a5e82cea8）	Nessus	Fedora Local Security Checks	3/4/2019	6/18/2024	critical
106209	Debian DLA-1253-1: openocdセキュリティ更新	Nessus	Debian Local Security Checks	1/22/2018	1/11/2021	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical