Jakub Wilk discovered that GNU patch did not correctly handle file paths in patch files. An attacker could specially craft a patch file that could overwrite arbitrary files with the privileges of the user invoking the program. This issue only affected Ubuntu 12.04 LTS.
(CVE-2010-4651)

Laszlo Boszormenyi discovered that GNU patch did not correctly handle some patch files. An attacker could specially craft a patch file that could cause a denial of service. (CVE-2014-9637)

Jakub Wilk discovered that GNU patch did not correctly handle symbolic links in git style patch files. An attacker could specially craft a patch file that could overwrite arbitrary files with the privileges of the user invoking the program. This issue only affected Ubuntu 14.04 LTS and Ubuntu 14.10. (CVE-2015-1196)

Jakub Wilk discovered that GNU patch did not correctly handle file renames in git style patch files. An attacker could specially craft a patch file that could overwrite arbitrary files with the privileges of the user invoking the program. This issue only affected Ubuntu 14.04 LTS and Ubuntu 14.10. (CVE-2015-1395)

Jakub Wilk discovered the fix for CVE-2015-1196 was incomplete for GNU patch. An attacker could specially craft a patch file that could overwrite arbitrary files with the privileges of the user invoking the program. This issue only affected Ubuntu 14.04 LTS and Ubuntu 14.10.
(CVE-2015-1396).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The GNU patch utility was updated to 2.7.5 to fix three security issues and one non-security bug.

The following vulnerabilities were fixed :

  - CVE-2015-1196: directory traversal flaw when handling     git-style patches. This could allow an attacker to     overwrite arbitrary files by tricking the user into     applying a specially crafted patch. (bsc#913678)

  - CVE-2015-1395: directory traversal flaw when handling     patches which rename files. This could allow an attacker     to overwrite arbitrary files by tricking the user into     applying a specially crafted patch. (bsc#915328)

  - CVE-2015-1396: directory traversal flaw via symbolic     links. This could allow an attacker to overwrite     arbitrary files by tricking the user into applying a by     applying a specially crafted patch. (bsc#915329)

The following bug was fixed :

  - bsc#904519: Function names in hunks (from diff -p) are     now preserved in reject files.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

GNU パッチユーティリティが 2.7.5 へ更新され、3 つのセキュリティの問題と 1 つのセキュリティ関連ではないバグが修正されました。

次の脆弱性が修正されました：

- CVE-2015-1196：git 形式のパッチを処理する場合に生じるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きできる場合があります。（bsc#913678）

- CVE-2015-1395：ファイルの名前を変更するパッチを処理する場合に生じるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きできる場合があります。（bsc#915328）

- CVE-2015-1396：シンボリックリンクによるディレクトリトラバーサルの欠陥。このため、攻撃者は、ユーザーを騙して特別に細工されたパッチを適用させることにより、任意のファイルを上書きする可能性があります。（bsc#915329）

次のバグが修正されました：

- bsc#904519：（diff -p からの）hunks の関数名が拒否ファイルに保存されるようになりました。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

GNU 修補程式公用程式已更新至 2.7.5 版，修正了三個安全性問題和一個非安全性錯誤。

下列弱點已修正：

- CVE-2015-1196：處理 git 樣式修補程式的過程中有一個目錄遊走瑕疵。這可允許攻擊者透過誘騙使用者套用特製的修補程式來覆寫任意檔案。(bsc#913678)

- CVE-2015-1395：處理可重新命名檔案的修補程式時，發現一個目錄遊走瑕疵。這可允許攻擊者透過誘騙使用者套用特製的修補程式來覆寫任意檔案。(bsc#915328)

- CVE-2015-1396：透過符號連結的一個目錄遊走瑕疵。此瑕疵允許攻擊者誘騙使用者套用特製的修補程式覆寫任意檔案。(bsc#915329)

下列錯誤已修正：

- bsc#904519：拒絕檔案現可保留區塊 (來自 diff -p) 中的函式名稱。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jakub Wilk 發現，GNU 修補程式未正確處理修補程式檔案中的檔案路徑。攻擊者可特製以叫用程式的使用者權限覆寫任意檔案的修補程式檔案。這個問題只會影響 Ubuntu 12.04 LTS。
(CVE-2010-4651)

Laszlo Boszormenyi 發現，GNU 修補程式未正確處理某些修補程式檔案。攻擊者可特別製作一個能造成拒絕服務的修補程式檔案。(CVE-2014-9637)

Jakub Wilk 發現，GNU 修補程式未正確處理 git 樣式修補程式檔案中的符號連結。攻擊者可特製以叫用程式的使用者權限覆寫任意檔案的修補程式檔案。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-1196)

Jakub Wilk 發現，GNU 修補程式未正確處理 git 樣式修補程式檔案中的檔案重新命名。攻擊者可特製以叫用程式的使用者權限覆寫任意檔案的修補程式檔案。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-1395)

Jakub Wilk 發現，CVE-2015-1196 的修正對 GNU 修補程式而言並不完整。攻擊者可特製以叫用程式的使用者權限覆寫任意檔案的修補程式檔案。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 14.10。
(CVE-2015-1396)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

GNU 修补程序实用工具已更新到版本 2.7.5，修复了三个安全问题和一个非安全缺陷。

修复了以下漏洞：

- CVE-2015-1196：处理 git-style 修补程序时的目录遍历缺陷。这可能允许攻击者通过诱骗用户应用特别构建的修补程序来覆盖任意文件。(bsc#913678)

- CVE-2015-1395：处理对文件重命名的修补程序时的目录遍历缺陷。这可能允许攻击者通过诱骗用户应用特别构建的修补程序来覆盖任意文件。(bsc#915328)

- CVE-2015-1396：通过符号链接导致的目录遍历缺陷。这可能允许攻击者通过诱骗用户应用特别构建的修补程序来覆盖任意文件。(bsc#915329)

修复了以下缺陷：

- bsc#904519：hunks（从 diff -p）中的函数名称现在在拒绝文件中保留。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Jakub Wilk 氏は、GNU パッチがパッチファイルでファイルパスを適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 12.04 LTSのみです。
(CVE-2010-4651)

Laszlo Boszormenyi 氏は、GNU パッチが一部のパッチファイルを適切に処理しないことを発見しました。攻撃者が、サービス拒否を引き起こす可能性があるパッチファイルを特別に細工する可能性があります。(CVE-2014-9637)

Jakub Wilk 氏は、GNU パッチが git 形式のパッチファイルでシンボリックリンクを適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。（CVE-2015-1196）

Jakub Wilk 氏は、GNU パッチが git 形式のパッチファイルでファイルの名前の変更を適切に処理しないことを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。（CVE-2015-1395）

Jakub Wilk 氏は、CVE-2015-1196 の修正が GNU パッチに対して不完全であることを発見しました。攻撃者は、プログラムを起動しているユーザーの権限で任意のファイルを上書きできるパッチファイルを特別に細工することができます。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。
(CVE-2015-1396)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Jakub Wilk 发现，GNU 修补程序未正确处理修补程序文件中的文件路径。攻击者可以特别构建修补程序文件，从而以调用该程序的用户权限覆盖任意文件。此问题仅影响 Ubuntu 12.04 LTS。
(CVE-2010-4651)

Laszlo Boszormenyi 发现，GNU 修补程序未正确处理某些修补程序文件。攻击者可特别构建能够造成拒绝服务的修补程序文件。(CVE-2014-9637)

Jakub Wilk 发现，GNU 修补程序未正确处理 git 样式修补程序文件中的符号链接。攻击者可以特别构建修补程序文件，从而以调用该程序的用户权限覆盖任意文件。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-1196)

Jakub Wilk 发现，GNU 修补程序未正确处理 git 样式修补程序文件中的文件重命名。攻击者可以特别构建修补程序文件，从而以调用该程序的用户权限覆盖任意文件。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-1395)

Jakub Wilk 发现对于 GNU 修补程序而言，CVE-2015-1196 的补丁不完整。攻击者可以特别构建修补程序文件，从而以调用该程序的用户权限覆盖任意文件。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。
(CVE-2015-1396)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

ID	Name	Product	Family	Published	Updated	Severity
84339	Ubuntu 14.04 LTS : GNU patch vulnerabilities (USN-2651-1)	Nessus	Ubuntu Local Security Checks	6/23/2015	10/23/2023	high
84083	SUSE SLED12 / SLES12 Security Update : patch (SUSE-SU-2015:1019-1)	Nessus	SuSE Local Security Checks	6/10/2015	1/6/2021	high
84083	SUSE SLED12/SLES12 セキュリティ更新：パッチ（SUSE-SU-2015:1019-1）	Nessus	SuSE Local Security Checks	6/10/2015	1/6/2021	high
84083	SUSE SLED12 / SLES12 安全性更新：修補程式 (SUSE-SU-2015:1019-1)	Nessus	SuSE Local Security Checks	6/10/2015	1/6/2021	high
84339	Ubuntu 14.04 LTS：GNU 修復程式弱點 (USN-2651-1)	Nessus	Ubuntu Local Security Checks	6/23/2015	10/23/2023	high
84083	SUSE SLED12/SLES12 安全更新：修补程序 (SUSE-SU-2015:1019-1)	Nessus	SuSE Local Security Checks	6/10/2015	1/6/2021	high
84339	Ubuntu 14.04 LTS: GNU patch の脆弱性 (USN-2651-1)	Nessus	Ubuntu Local Security Checks	6/23/2015	10/23/2023	high
84339	Ubuntu 14.04 LTS：GNU 修补程序漏洞 (USN-2651-1)	Nessus	Ubuntu Local Security Checks	6/23/2015	10/23/2023	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high