CentOS 4 : pam (CESA-2007:0737)

medium Nessus Plugin ID 67055

語系：

概要

遠端 CentOS 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 4 的更新版 pam 套件，可修正兩個安全性瑕疵、解決兩個錯誤，並新增一個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

插入式驗證模組 (PAM) 提供一個系統，讓系統管理員可在不重新編譯用於處理驗證之程式的情況下，直接設定驗證原則。

在 pam_console 設定主控台裝置權限的方式中發現一個瑕疵。數個主控台裝置可能在登出後取得主控台使用者的擁有權，並可能將資訊洩漏給其他本機使用者。(CVE-2007-1716)

在 PAM 程式庫將帳戶名稱寫入至稽核子系統的方式中發現一個瑕疵。攻擊者可插入包含部分稽核訊息的字串，可誤導或混淆稽核記錄剖析工具。(CVE-2007-3102)

這些更新版套件也可修正下列錯誤：

* 在某些情況下，用於複製 X11 驗證 Cookie 的 pam_xauth 模組並未重設 'XAUTHORITY' 變數，進而在使用 su 命令時造成不必要的延遲。

* 計算密碼相似度時，若在「/etc/pam.d/system-auth」中設定「difok=x」(其中「x」為需要變更的字元數)，則 pam_cracklib 會忽略對密碼之最後一個字元的變更。這會導致本應成功的密碼變更失敗，並出現下列錯誤訊息：

BAD PASSWORD: 與舊密碼過於相似。

此問題已在這些更新版套件中解決。

* 若尚未在「/etc/security/limits.conf」組態檔中設定使用者工作階段的執行優先順序，則為使用者工作階段設定系統資源限制的 pam_limits 模組會將其重設為「0」。

這些更新版套件新增了下列增強功能：

* 新 PAM 模組 pam_tally2，其允許在達到最大登入失敗嘗試次數後鎖定帳戶。

所有 PAM 使用者皆應升級至這些更新版套件，其可解決這些問題並新增此增強功能。