Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 openldap

medium Nessus Plugin ID 60771

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

在 OpenLDAP 處理 X.509 憑證之 CommonName 欄位的 NULL 字元之方式中發現一個瑕疵。能夠取得由受信任之憑證授權單位簽署的特製憑證之攻擊者，可誘騙使用 OpenLDAP 程式庫的應用程式錯誤地接受該憑證，進而允許攻擊者執行攔截式攻擊。(CVE-2009-3767)

此更新也可修正下列錯誤：

- ldap init 指令碼並未提供修改 slapd 程序之系統限制的方法。現已在 ‘/etc/sysconfig/ldap’ 中提供此選項的變數。
(BZ#527313)

- 存在大量網路介面時，可損毀使用 OpenLDAP 程式庫聯絡 Microsoft Active Directory 伺服器的應用程式。此更新會在 OpenLDAP 程式庫程式碼中實作鎖定，以解決這個問題。(BZ#510522)

- 設定 slapd 允許用戶端憑證時，大約 90% 的連線會因大型 CA 憑證和 slapd 未檢查 SSL 交握是否成功而凍結。(BZ#509230)

- 在高負載情況下，OpenLDAP 伺服器會因不明原因而凍結。這些套件會新增依新執行緒接受傳入連線的支援，以解決這個問題。(BZ#507276)

- compat-openldap 程式庫並未列示其他程式庫的相依性，進而造成未特別指定該程式庫的程式失敗。此更新已新增在 64 位元系統上偵測使用中的應用程式二進位介面 (ABI) 的功能。(BZ#503734)

- OpenLDAP 程式庫造成應用程式損毀，這是因為未處理的網路逾時所導致。當 NULL 傳遞至 LDAP 時，現在會傳遞值為 -1 的 timeval。(BZ#495701)

- 使用 rwm 重疊時，在負載過重情況下，slapd 可在伺服器上損毀，進而在作業清理期間釋放非配置的記憶體。(BZ#495628)

- ldap init 指令碼在「/tmp/」中建立一個暫存指令碼，並嘗試執行該指令碼。使用 noexec 選項掛載 ‘/tmp/’ 時會引發問題。不再建立暫存指令碼。(BZ#483356)

- 即使獲指示只能在 ldaps:/// 上接聽，ldap init 指令碼仍會一律在 ldap:/// 上啟動 slapd 接聽。
使用者現在可以透過更正 init 指令碼，選取 slapd 應該在哪些連接埠上接聽。(BZ#481003)

- slapd 手冊頁面並未提及支援的 -V 和 -o 選項。(BZ#468206)

- slapd.conf 有一個 commented-out 選項，可載入 syncprov.la 模組。一旦取消註解之後，slapd 會在啟動時損毀，因為已使用靜態方式將模組連結至 OpenLDAP。此更新會從 slapd.conf 移除 ‘moduleload syncprov.la’，以解決此問題。
(BZ#466937)

- migrate_automount.pl 指令碼所產生的輸出未受 autofs 支援。這是透過更新自動掛載記錄的輸出 LDIF 格式來更正。(BZ#460331)

- 關閉 slapd 時，ldap init 指令碼先使用 TERM 訊號，接著再使用 KILL 訊號。如果 LDAP 資料庫還未儲存其狀態完畢，兩個訊號之間的最小延遲可能會使該資料庫損毀。已在 ‘/etc/sysconfig/ldap’ 中透過 ‘STOP_DELAY’ 選項，加入訊號之間的延遲。
(BZ#452064)

- 當數字欄位僅包含一個零時，migrate_passwd.pl 移轉指令碼有一個問題。這類欄位會被視為空的，導致無法在 LDIF 輸出中設定屬性。已更正 dump_shadow_attributes 中的情況，允許屬性僅包含一個零。(BZ#113857)

- migrate_base.pl 移轉指令碼並未正確處理第三層網域，進而建立一個以第三層為基礎之資料庫無法保留的第二層網域。現在透過將 migrate_base.pl 指令碼修改為僅產生一個網域來允許這個行為。
(BZ#104585)