Scientific Linux 安全性更新：SL5.x 上的 openssh

medium Nessus Plugin ID 60296

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

問題描述：

在 ssh 伺服器將帳戶名稱寫入至稽核子系統的方式中發現一個瑕疵。攻擊者可插入包含部分稽核訊息的字串，可誤導或混淆稽核記錄剖析工具。(CVE-2007-3102)

在 OpenSSH 伺服器處理 GSSAPI 驗證要求的方式中發現一個瑕疵。當在 OpenSSH 伺服器中啟用 GSSAPI 驗證時，遠端攻擊者可能能夠確定使用者名稱是否有效。(CVE-2006-5052)

SELinux MLS (多層級安全性) 支援中的下列錯誤也已在此更新中修正：

- 使用 shh 登入時，有時無法選擇 SELinux 角色和層級。

- 如果使用者取得非預設的 SELinux 角色或層級，則角色變更不會記錄在稽核子系統之中。

- 在某些情況下，sshd 在已標記的網路中會允許從不應允許的層級範圍登入。

此更新版套件亦包含實性性支援，可使用 PKCS#11 token 中儲存的私密金鑰來進行用戶端驗證。支援是透過 NSS (網路安全性服務) 程式庫提供。