Oracle Linux 6 : augeas (ELSA-2013-1537)
high Nessus Plugin ID 71102
語言:
概要
遠端 Oracle Linux 主機缺少一個或多個安全性更新。說明
來自 Red Hat 安全性公告 2013:1537：現已提供適用於 Red Hat Enterprise Linux 6 的更新版 augeas 套件，可修正兩個安全性問題、數個錯誤，並新增多個增強功能。
Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
Augeas 為用於編輯組態的公用程式。Augeas 會剖析原生格式的組態檔，並將其轉換為樹狀結構。組態的變更方式為操控此樹狀結構，再將其存回原生組態檔中。Augeas 也會將‘lenses’用作基礎建構區塊，以從檔案至 Augeas 樹狀結構及反向操作中建立對應。
更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)
augeas 套件已升級至 1.0.0 上游版本，相較於先前的版本，此版本提供幾個錯誤修正與增強功能。(BZ#817753)
此更新也可修正下列錯誤：
* 在先前的版本中，XML 屬性中若使用單引號，Augeas 無法使用 XML lens 剖析檔案。已提供上游修補程式，可確保系統將單引號處理為有效字元，且剖析不再會失敗。(BZ#799885)
* 此更新之前的版本中，Augeas 無法設定 vsftpd.conf 檔案中的 'require_ssl_reuse' 選項。更新版修補程式將 vsftpd lens 修正為可正確識別此選項，因而修正了此錯誤。(BZ#855022)
* 之前，XML lens 不支援非 Unix 行結尾。
因此 Augeas 無法載入任何含有這類行結尾的檔案。XML lens 已修正為可處理含有 CRLF 行結尾的檔案，因而修正了此錯誤。(BZ#799879)
* 之前，Augeas 無法剖析選項指示詞中「=」字元前後有空格的 modprobe.conf 檔案。modprobe lens 已更新，且剖析不再會失敗。(BZ#826752)
建議所有 Augeas使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。
解決方案
更新受影響的 augeas 套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 71102
檔案名稱: oraclelinux_ELSA-2013-1537.nasl
版本: 1.10
類型: local
代理程式: unix
已發布: 2013/11/27
已更新: 2024/10/23
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Low
基本分數: 3.7
時間性分數: 2.9
媒介: CVSS2#AV:L/AC:H/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2012-0787
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.4
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:oracle:linux:augeas, p-cpe:/a:oracle:linux:augeas-libs, cpe:/o:oracle:linux:6, p-cpe:/a:oracle:linux:augeas-devel
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2013/11/26
弱點發布日期: 2013/11/23
參考資訊
CVE: CVE-2012-0786, CVE-2012-0787
BID: 63861
RHSA: 2013:1537