來自 Red Hat 安全性公告 2007:0795：

現已提供適用於 Red Hat Enterprise Linux 4 的更新版 cyrus-sasl 套件，可解決一個安全性問題並修正多種其他錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

cyrus-sasl 套件內含 SASL 的 Cyrus 實作。SASL 是 Simple Authentication and Security Layer 的縮寫，這是一種可用於為連線型通訊協定新增驗證支援的方法。

在 cyrus-sasl 的 DIGEST-MD5 驗證機制中發現一個錯誤。
作為 DIGEST-MD5 驗證交換的一部分，預期用戶端會傳送一組特定資訊給伺服器。如果未傳送其中一個項目 (「領域」) 或其格式有誤，遠端未經驗證的攻擊者便可在伺服器上造成拒絕服務 (分割錯誤)。(CVE-2006-1721)

此錯字勘誤表也修正了下列錯誤：

* Red Hat Enterprise Linux 4 隨附的 Kerberos 5 程式庫執行緒不安全。此更新新增的功能可讓您在啟用執行緒的應用程式中，安全使用該程式庫。

* cyrus-sasl 的 DIGEST-MD5 驗證外掛程式已修正數個記憶體洩漏錯誤。

* 系統現已預設使用 /dev/urandom，其不支援 hwrandom。之前，預設值為 dev/random。

* cyrus-sasl 需要 zlib-devel 才能正確構建。套件現已納入此相依性資訊。

建議使用者皆升級至此更新版 cyrus-sasl 套件，其可解決這些問題。

偵測

Oracle Linux 4 : cyrus-sasl (ELSA-2007-0795)

low Nessus Plugin ID 67558

找不到變更記錄