CVE-2017-8779

描述

rpcbind through 0.2.4, LIBTIRPC through 1.0.1 and 1.0.2-rc through 1.0.2-rc3, and NTIRPC through 1.4.3 do not consider the maximum RPC data size during memory allocation for XDR strings, which allows remote attackers to cause a denial of service (memory consumption with no subsequent free) via a crafted UDP packet to port 111, aka rpcbomb.

如何修補 CVE-2017-8779

要修補 CVE-2017-8779,請將受影響套件升級到下列已修補版本。

• —升級至 0.2.4-r0 或更新版本
• —升級至 0.2.5-1.2 或更新版本
• —升級至 0.2.2-5+deb7u1 或更新版本
• —升級至 0.2.5-1+deb8u1 或更新版本
• —升級至 1.4.4-1 或更新版本
• —升級至 0.2.3-0.6 或更新版本
• —升級至 0.2.0-8+deb7u2 或更新版本
• —升級至 0.2.1-6+deb8u2 或更新版本

CVE-2017-8779 正在被利用嗎?

可能 — EPSS 為 81.9%,屬於高被利用機率區間,建議優先修補。

受影響套件(8)

• from 0, < 0.2.4-r0
• from 0, < 0.2.5-1.2
• from 0, < 0.2.2-5+deb7u1
• from 0, < 0.2.5-1+deb8u1
• from 0, < 1.4.4-1
• from 0, < 0.2.3-0.6
• from 0, < 0.2.0-8+deb7u2
• from 0, < 0.2.1-6+deb8u2

CVSS 分數

參考連結(2)

• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2017-8779
• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2017-8779