來自 Red Hat 安全性公告 2008:1001：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 tog-pegasus 套件，可修正安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。

tog-pegasus 套件提供 OpenPegasus Web 式企業管理 (WBEM) 服務。WBEM 是一套獨立於平台與資源的分散式管理任務小組 (DMTF) 標準，其定義了用於監控及控制資源的共用資訊模型與通訊協定。

除了上游 OpenGroup Pegasus 版本所定義的增強功能以外，Red Hat 還定義了 OpenGroup Pegasus WBEM 服務的其他安全性增強功能。如需有關這些增強功能的詳細資訊，請參閱隨附於 Red Hat tog-pegasus 套件中的 'README.RedHat.Security' 檔案。

在將基礎重新定為 2.7.0 版的 OpenGroup Pegasus 程式碼之後，已不再套用這些其他的安全性增強功能。因此，對於 OpenPegasus WBEM 服務的存取並不如 README.RedHat.Security 所述限於專門使用者。能夠使用有效使用者帳戶驗證的攻擊者可使用此瑕疵來將要求傳送至 WBEM 服務。(CVE-2008-4313)

注意：預設 SELinux 原則會防止 tog-pegasus 修改系統檔案。此瑕疵的影響取決於 tog-pegasus 是否受 SELinux 限制，以及在特殊系統上安裝及啟用的其他任何 CMPI 提供者。

對於 OpenPegasus CIM 伺服器的驗證嘗試失敗並未如 README.RedHat.Security 所述記錄到系統記錄檔。
攻擊者可使用此瑕疵來對在系統記錄檔中沒有留下蹤跡的使用者帳戶執行密碼猜測攻擊。
(CVE-2008-4315)

建議所有 tog-pegasus 使用者皆升級至這些更新版套件，其中包含可更正這些問題的修補程式。

偵測

Oracle Linux 5 : tog-pegasus (ELSA-2008-1001)

medium Nessus Plugin ID 67770

找不到變更記錄