glibcの脆弱性(Important: CVE-2025-5702, CVE-2025-5745)

06/07/2025にglibcの脆弱性(Important: CVE-2025-5702, CVE-2025-5745)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

CVSS/プライオリティ

  • CVE-2025-5702
    • Priority/EPSS
      • NVD: 5.6(MEDIUM)
      • Red Hat: 8.1
    • CVSS Score / CVSS Vector
      • NVD: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
      • Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
    • EPSS Score/Percentile
      • DATE(JST): 2025-06-07
      • EPSS: 0.000370000
      • Percentile: 0.101950000
  • CVE-2025-5745
    • Priority/EPSS
      • NVD: 5.6(MEDIUM)
      • Red Hat: 8.1
    • CVSS Score / CVSS Vector
      • NVD: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
      • Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
    • EPSS Score/Percentile
      • DATE(JST): 2025-06-07
      • EPSS: 0.000370000
      • Percentile: 0.101950000

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • https://www.cve.org/CVERecord?id=CVE-2025-5702
    • GNU C Liberary 2.39以降のPower10プロセッサーでのstrcmp実装のオプティマイズがベクトルレジスタv20からv31(これらのレジスタはPowerCP64IE ABIにより不揮発性のレジスタとして定義されています）を、呼び出しからのコンテンツ保存をせずに書き込んでしまうため、結果としてコンテンツを上書きしてしまい、呼び出し元からの制御フローを書き換える可能性があったり、あるいは過去のプログラムの関数の一部分の文字列が漏洩してしまう可能性があります。
  • https://www.cve.org/CVERecord?id=CVE-2025-5745
    • GNU C Liberary 2.40以降のPower10プロセッサーでのstrncmp実装のオプティマイズがベクトルレジスタv20からv31(これらのレジスタはPowerCP64IE ABIにより不揮発性のレジスタとして定義されています）を、呼び出しからのコンテンツ保存をせずに書き込んでしまうため、結果としてコンテンツを上書きしてしまい、呼び出し元からの制御フローを書き換える可能性があったり、あるいは過去のプログラムの関数の一部分の文字列が漏洩してしまう可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

タイトルとURLをコピーしました