JVNVU#946652
pWhois Layer Four Traceroute に権限昇格の脆弱性

pWhois Layer Four Traceroute には、権限昇格の脆弱性が存在します。

• Layer Four Traceroute 3.3 より前のバージョン
  

pWhois Layer Four Traceroute には、コマンドライン引数の解析処理に起因する権限昇格の脆弱性が存在します。

なお、Layer Four Traceroute を同梱して配布しているディストリビューションでも、 ”lft” バイナリを SETUID root しないものは、本脆弱性の影響を受けないとのことです。

Layer Four Traceroute が SETUID root されている場合、ローカルユーザが root 権限を取得する可能性があります。

アップデートする
開発者が提供する情報をもとに Layer Four Traceroute 3.3 以降 にアップデートしてください。

ワークアラウンド
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• Layer Four Traceroute を SETUID root しない