EulerOS 2.0 SP2：cracklib (EulerOS-SA-2019-2439)

high Nessus Plugin ID 131593

語系：

概要

遠端 EulerOS 主機缺少安全性更新。

說明

根據安裝的 cracklib 套件版本，遠端主機上的 EulerOS 安裝會受到下列弱點影響：- CrackLib 會測試密碼以判斷它們是否符合特定的安全導向特性，用以阻止使用者選擇容易猜到的密碼。CrackLib 會對密碼執行數種測試：它會嘗試從使用者名稱和 gecos 項目產生字組，並對照密碼檢查這些字組，然後檢查密碼中的簡單模式，再檢查字典中的密碼。CrackLib 實際上是一個包含特定 C 函式的程式庫，用於檢查密碼以及其他 C 函式。CrackLib 不能取代 passwd 程式，它必須與現有的 passwd 程式一起使用。如果您需要一個程式來檢查使用者的密碼，以查看它們是否至少具有最低的安全性，請安裝 cracklib 套件。如果您安裝 CrackLib，您也會想要安裝 cracklib-dicts 套件。安全性修正：在 cracklib 的 lib/fascist.c 中，FascistGecosUser 函式中的堆疊型緩衝區溢位允許本機使用者透過長 GECOS 欄位，造成拒絕服務 (應用程式損毀)，或取得權限，這與 longbuffer 相關。(CVE-2016-6318) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。