來自 Red Hat 安全性公告 2013:0120：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 quota 套件，可修正一個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

quota 套件提供系統管理工具，用於監控和限制檔案系統上的使用者與群組磁碟使用量。

據發現，rpc.rquotad 服務並未正確使用 tcp_wrappers。「/etc/hosts.allow」與「/etc/hosts.deny」中定義的某些主機存取規則可能尚未被接受，進而可能允許遠端攻擊者繞過預定的存取限制。(CVE-2012-3417)

此問題的發現者是 Red Hat 安全性回應團隊。

此更新也可修正下列錯誤：

* 在此更新之前，如果配額值為 2^32 KB 或更大，當查詢網路掛載的檔案系統的配額使用量或限制時，並未透過遠端程序呼叫 (RPC) 正確傳輸值，且用戶端也未正確解譯那些值。因此，用戶端報告損毀的值。此更新可修改基礎程式碼，因此用戶端能夠正確解譯這類值。
(BZ#667360)

* 在此更新之前，如果啟用 warnquota 工具來傳送警告電子郵件，且超級使用者並未變更預設的 warnquota 組態，則 warnquota 會從有效網域名稱傳送有關超過配額限制的訊息。因此，收件者可回覆至無效的位址。此更新可修改預設的 warnquota 組態，以使用保留的 example.com. 網域。現在，有關超過配額限制的警告會從保留的網域傳送，通知超級使用者變更為正確的值。(BZ#680429)

* 之前，由於 /etc/mtab 的錯誤更新，配額公用程式無法識別已啟用配額的檔案系統，且拒絕在該檔案系統上運作。此更新慣用 /proc/mounts 以取得已啟用配額的檔案系統清單。現在，配額公用程式可如預期地識別已啟用配額的檔案系統。(BZ#689822)

* 在此更新之前，XFS 檔案系統上的 setquota(8) 工具無法將磁碟限制設定為大於 2^31 KB 的值。此更新會修改 setquota(8) 工具中的整數轉換，以使用足夠儲存這類值的 64 位元變數。(BZ#831520)

建議所有配額使用者皆升級至此更新版套件，其中包含可解決這些問題的反向移植修補程式。

偵測

Oracle Linux 5 : quota (ELSA-2013-0120)

medium Nessus Plugin ID 68691

找不到變更記錄