Debian DLA-1723-1：cron 安全性更新

medium Nessus Plugin ID 123017

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 Debian 的 CRON 排程器中發現多個安全性問題。CVE-2017-9525 按照 Alexander Peslyak (Solar Designer) 在 http://www.openwall.com/lists/oss-security/2017/06/08/3 中所述，透過 Debian 套件 postinst 指令碼將 crontab 群組修正為根提升。CVE-2019-9704 DoS：修正 calloc() 未經檢查的傳回。Florian Weimer 發現缺少對 calloc() 傳回值的檢查可能會使程序損毀，這可能是由使用者所建立，相當大的 crontab 觸發。CVE-2019-9705 將 crontab 的最大行數強制設定為 1000，以防止惡意使用者建立過大的 crontab。程序將記錄現有檔案的警告，而 crontab(1) 將拒絕建立新檔案。CVE-2019-9706 使用者報告 cron 程序中發生釋放後使用情形，可能使程序損毀，進而導致導致拒絕服務。針對 Debian 8「Jessie」，這些問題已在 3.0pl1-127+deb8u2 版本中修正。建議您升級 cron 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。