Scientific Linux 安全性更新：389-ds-base on SL6.x i386/x86_64
medium Nessus Plugin ID 65240
語系：
概要
遠端 Scientific Linux 主機缺少一個或多個安全性更新。說明
在 389 目錄伺服器處理 LDAPv3 控制資料的方式中發現一個瑕疵。如果惡意使用者可以繫結至該目錄 (即使是以匿名方式) 並傳送包含特製 LDAPv3 控制資料的 LDAP 要求，可使伺服器當機，並拒絕對目錄的服務。(CVE-2013-0312)此更新也可修正下列錯誤：
- 從 Scientific Linux 6.3 升級至 6.4 版之後，升級指令碼無法更新 PamConfig 物件類別的配置檔案。因此，由於違反配置，將無法使用 PAM 的新功能，例如多個執行個體的組態與 pamFilter 屬性。透過此更新，升級指令碼會更新 PamConfig 物件類別的配置檔案，而且新功能會正常運作。
- 據報告，valgrind 測試套件的 modify_update_last_modified_attr() 函式先前會重複發生記憶體洩漏情況。每個修改呼叫的洩漏大小平均在 60-80 位元組之間。在修改作業頻繁的環境中，這會造成重大的問題。現在，在 modify_update_last_modified_attr() 函式中不再出現記憶體洩漏。
- 取代多重值屬性時，目錄伺服器 (DS) 發生失敗。執行修改的伺服器設定為單一主要伺服器，而且存在至少一個複寫協議時，如果啟用複寫，就會發生此問題。因此，修改要求會遭到主要伺服器拒絕，並傳回代碼 20「類型或值存在」錯誤訊息。這些要求是多重值屬性的取代項目，而且只有在其中一個新值符合其中一個目前的屬性值，但字母大小寫不同時，才會發生此錯誤。現在，修改要求會正常運作，且不再傳回代碼 20 的錯誤。
- DNA (分散式數值指派) 外掛程式在某些情況下，可在嘗試使用 uidNumber 屬性建立項目時，以 'DB_LOCK_DEADLOCK' 錯誤碼記錄錯誤訊息。現在，DNA 會正確處理此情況，而且在嘗試使用 uidNumber 屬性建立項目期間，不再會發生錯誤。
- Posix Winsync 外掛程式將呼叫不必要的內部修改函式。內部修改呼叫失敗，且記錄的錯誤訊息「slapi_modify_internal_set_pb：NULL 參數」不清楚。如果內部修改函式並無必要，此修補程式會停止呼叫該函式，且不會觀察到隱密的錯誤訊息。
- 先前在某些情況下，dse.ldif 檔案在伺服器終止後，或電腦關機時有 0 個位元組。因此，在系統啟動之後，DS 或 IdM 系統可能無法重新啟動，導致實際執行伺服器中斷。現在，寫入 dse.ldif 的伺服器機制更為健全，而且會嘗試所有可用的備份 dse.ldif 檔，因此不再發生中斷。
- 由於錯誤碼解譯不正確，目錄伺服器會將無效的鏈結組態設定視為磁碟已滿的錯誤，而且會意外關機。現在，使用更恰當的錯誤代碼，而且伺服器不再會因為無效的鏈結組態設定而關機。
- 嘗試移除標記項目時，ns-slapd 程序會因為分割錯誤而意外終止。透過此更新，移除標記項目時不再會造成當機。
安裝此更新之後，389 伺服器服務將會自動重新啟動。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 65240
檔案名稱: sl_20130311_389_ds_base_on_SL6_x.nasl
版本: 1.8
類型: local
代理程式: unix
已發布: 2013/3/13
已更新: 2021/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.7
CVSS v2
風險因素: Medium
基本分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
弱點資訊
CPE: p-cpe:/a:fermilab:scientific_linux:389-ds-base, p-cpe:/a:fermilab:scientific_linux:389-ds-base-debuginfo, p-cpe:/a:fermilab:scientific_linux:389-ds-base-devel, p-cpe:/a:fermilab:scientific_linux:389-ds-base-libs, x-cpe:/o:fermilab:scientific_linux
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
修補程式發佈日期: 2013/3/11
弱點發布日期: 2013/3/13
參考資訊
CVE: CVE-2013-0312