01/11/2023にOpen vSwitchの脆弱性(Moderate: CVE-2022-4337, CVE-2022-4338)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。
[過去関連リンク(最新5件)]
CVSS/プライオリティ
- CVE-2022-4337
- 影響するバージョン
- openvswitch 3.0.3, 2.17.5, 2.16.6, 2.15.7, 2.14.8, 2.13.10
- 一時情報源
- Priority
- Red Hat: 5.3 Moderate
- CVSS Score / CVSS Vector
- Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- 影響するバージョン
- CVE-2022-4338
- 影響するバージョン
- openvswitch 3.0.3, 2.17.5, 2.16.6, 2.15.7, 2.14.8, 2.13.10
- 一時情報源
- Priority
- Red Hat: 5.3 Moderate
- CVSS Score / CVSS Vector
- Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- 影響するバージョン
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-4337
- 境界外読み込みの脆弱性
- 該当のバージョンのOpenvSwitchでは、LLDP_TLV_AA_ELEMENT_SUBTYPEで長さのチェックが不足していたため、悪意の有るLLDPパケットを受け取って組織特有のTLV(Type-Length-Value)処理を行う際に、境界外読み込みが発生する可能性があります。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-4338
- 境界外読み込みの脆弱性
- 該当のバージョンのOpenvSwitchでは、LLDP_TLV_AA_ISID_VLAN_ASGNS_SUBTYPEで長さのチェックが不足していたため、悪意の有るLLDPパケットを受け取って組織特有のTLV(Type-Length-Value)処理を行う際に、境界外読み込みと整数アンダーフローが発生する可能性があります。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
- SUSE/openSUSE
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
